El sitio de Drael de cerca: marca hacker, producto escaso

Drael se vende con vocabulario de hacker: exploits, la dark web, "the OSINT nobody else will run" (el OSINT que nadie más ejecuta). Leímos el sitio y la documentación página por página. Encontramos un producto al que le faltan páginas, con texto de relleno, con afirmaciones que su propia documentación contradice y con casi nada de lo que pediría un profesional de seguridad. En nuestra opinión, es un disfraz.

Datos recogidos el 9 y el 10 de noviembre de 2026 en el sitio de Drael, su documentación de herramientas, sus términos y su llms.txt, y en los precios de NotHoly. Cada defecto de la lista se puede comprobar abriendo la dirección indicada. No iniciamos sesión, así que la aplicación que hay detrás del login queda fuera.

#Qué dicen los textos

El titular es "Nothing It Won't Answer" (nada que no vaya a responder). El lema dice "Chat, code it writes and runs, images with nothing blurred, and the OSINT nobody else will run." Es decir, chat, código que escribe y ejecuta, imágenes sin nada difuminado y ese OSINT. La sección de código promete "the scanner, the exploit, the fix nothing else will" (el escáner, el exploit y el arreglo que ningún otro hará), y la de búsqueda abarca "the clear web and Tor hidden services alike", tanto la web abierta como los servicios ocultos de Tor. Las tres cifras bajo el encabezado son cero respuestas rechazadas, un día como plan más barato y ningún dato personal.

En la página no aparece un alcance, un cliente, un informe, una metodología ni un equipo. Tal como la leemos, las palabras están tomadas de la seguridad ofensiva y la oferta se dirige a alguien que quiere sentirse sin restricciones.

#Cómo se ve el sitio de cerca

Qué encontramos	Dónde
No hay página de precios. El enlace del menú es un ancla, y los términos te mandan a "the plan page"	drael.sh/pricing devuelve 404
El plan más barato, el pase de un día, se anuncia tres veces sin precio	Página de inicio; no figura en el endpoint de planes
El enlace público "Help" redirige al inicio de sesión	drael.sh/help
No hay canal para reportar una vulnerabilidad	/.well-known/security.txt devuelve 404
Los ejemplos de código llaman a https://YOUR-HOST/v1 en un servicio alojado	Quickstart y documentación de imágenes
Página de inicio en nueve idiomas; páginas legales en dos; documentación en uno	Sitemap; /es/legal/terms devuelve 404
La página 404 muestra un menú en portugués alrededor de un mensaje en inglés	Cualquier página inexistente, interfaz en portugués
Documentación en inglés con coma decimal y punto de millares: "0,16", "13.218 tokens"	Documentación de límites y de herramientas
La documentación cita archivos fuente internos	"ledger/domain/published_test.go" en la página de límites
Página de estado sin historial de incidentes, solo un contador "since the server last started"	drael.sh/status

La página de inicio en portugués tiene frases que se leen como calcos palabra por palabra de modismos ingleses. "Nada fora da mesa" corresponde a "Nothing off the table". "Nossas, e alcançam a rede" corresponde a "Ours, and they reach the net". Un hablante de portugués no escribiría ninguna de las dos.

La documentación narra su propia historia allí donde un cliente espera la descripción del producto: "That split did not earn its complexity and was removed", "There was, and it was removed", "What rations the scarce KV is the tier itself". El robots.txt lleva apuntes que no van dirigidos a nadie ("AI crawlers, stated honestly rather than performatively") y se contradice: bloquea GPTBot y ClaudeBot en un bloque y les permite /docs en otro. La pantalla de inicio de sesión en portugués acepta un código "do Drael antigo", del Drael antiguo, y la página de herramientas habla de "the previous product", el producto anterior.

No podemos saber cómo se produjo este sitio. Lo que estos defectos nos sugieren es texto y páginas generados deprisa y publicados sin que una persona los leyera de principio a fin.

#Dónde discrepan los textos y la documentación

El sitio dice	La documentación dice
Cifra del encabezado: cero respuestas rechazadas	provider_refused: "The image model refused this prompt"
"the OSINT nobody else will run"	"they are not what the product leads with"
"There is no AI vendor in the path"	"generate_image is cash at a provider per attempt"
"nothing you ask goes to a third party's API"	La consulta de filtraciones "sends the identifier you asked about to the lookup service"
"Priced by the month"	Un mes son cuatro semanas
"the exploit, the fix"	"Nothing Drael says is legal, medical, financial or security advice"

Puede que cada fila tenga una explicación. Un comprador no debería tener que conciliar una landing con su propia referencia de errores.

#La consulta de filtraciones es el problema legal

La función de OSINT es una sola herramienta, breach_lookup: "An email, a username, a phone, a domain, a password. It says where an identifier has already leaked." Recibe un correo, un usuario, un teléfono, un dominio o una contraseña y dice dónde se filtró ya ese identificador. Son datos personales de otras personas. Según la LGPD y el RGPD, consultarlos exige una base legal, y en un trabajo para un cliente tiene que estar dentro del alcance.

Las páginas de Drael no ofrecen ni una base ni un contrato. El identificador va "to the lookup service and the databases it consults", a un servicio de búsqueda y a unas bases que la página de privacidad no nombra. Los términos prohíben usar Drael para "stalk, threaten or expose a private person" (acosar, amenazar o exponer a un particular) y a continuación te dejan a ti el criterio y la responsabilidad. Nuestra lectura de los términos trata la indemnización.

#Cómo es el trabajo bajo contrato

El OSINT real de un engagement parte de un alcance escrito, como describen PTES y el NIST SP 800-115, y termina en un informe donde cada elemento tiene una fuente, una hora y un responsable. El comunicado del IBM Cost of a Data Breach 2026 sitúa la brecha media en US$ 4,99 millones, y Netskope cuenta 223 violaciones de política de datos en GenAI por organización al mes. Los clientes leen esos informes y preguntan adónde fueron sus datos.

La búsqueda en la dark web de NotHoly lista resultados y nunca abre un .onion. read_url lee solo páginas públicas. Nada en nuestros servidores escanea ni consulta un objetivo. Es menos vistoso que la página de Drael, y es lo que te permite meter la herramienta en un statement of work.

#Dónde encaja cada uno

El sitio de Drael vende la sensación de trabajar sin restricciones, y encaja con quien quiere esa sensación y un chatbot sin censura con generación de imágenes. NotHoly está hecho para trabajo de seguridad pagado: un alcance que el tráfico respeta, un modelo cuya base puedes citar, una búsqueda en la dark web que solo lista resultados y un read_url que lee páginas públicas. Es menos emocionante que "the OSINT nobody else will run", y es lo que puedes meter en un statement of work.

#Preguntas frecuentes

#¿Es legal el OSINT con IA?

Depende de los datos y de tu base para tratarlos. Las páginas públicas son una cosa. Las credenciales filtradas de personas con nombre son datos personales, y necesitas una base legal y, por lo general, un alcance.

#¿Qué es una consulta de filtraciones y quién ve la consulta?

Una búsqueda de un identificador en bases de datos filtradas. En Drael, el identificador se envía a un servicio de búsqueda y a bases que la página de privacidad no nombra.

#¿Drael es una herramienta de seguridad?

Usa el vocabulario. No encontramos controles de alcance, registro de auditoría, funciones de equipo ni un canal para reportar vulnerabilidades.

#¿Qué hace apta una herramienta de IA para red team?

Ejecución desde tus propias direcciones, un modelo que puedas nombrar, logs que conservas tú y un proveedor en el contrato. Consulta red team.

#¿NotHoly hace OSINT?

Ayuda con la metodología, el triaje y el informe, lee páginas públicas y lista resultados de búsqueda en la dark web. No hace consultas de filtraciones ni toca objetivos.

#Veredicto

El sitio de Drael vende la sensación de ser hacker y entrega un chatbot con generación de imágenes, montado sobre páginas que apuntan a direcciones que no existen. No creemos que se haya hecho para quienes viven de esto, y nada de lo que leímos sugiere que ellos lo hayan probado. Por qué un profesional no lleva engagements a Drael tiene la lista de comprobación, y los precios de NotHoly empiezan en US$ 5.