Il sito di Drael da vicino: branding hacker, poco prodotto

Drael si promuove con il vocabolario hacker: exploit, dark web, "the OSINT nobody else will run" (l'OSINT che nessun altro esegue). Abbiamo letto il sito e la documentazione pagina per pagina. Abbiamo trovato un prodotto con pagine mancanti, testo segnaposto, affermazioni smentite dalla sua stessa documentazione e quasi niente di ciò che un professionista della sicurezza chiederebbe. A nostro parere è un costume.

Dati raccolti il 9 e il 10 novembre 2026 dal sito di Drael, dalla sua documentazione sui tool, dai termini e da llms.txt, e dai prezzi di NotHoly. Ogni difetto qui sotto si può verificare aprendo l'indirizzo indicato. Non abbiamo effettuato l'accesso, quindi l'app dietro il login resta fuori.

#Cosa dice la copy

Il titolo è "Nothing It Won't Answer" (niente a cui non risponda). Lo slogan recita "Chat, code it writes and runs, images with nothing blurred, and the OSINT nobody else will run." Chat, codice che scrive ed esegue, immagini senza nulla di sfocato e l'OSINT che nessun altro esegue. La sezione sul codice promette "the scanner, the exploit, the fix nothing else will", e quella sulla ricerca copre "the clear web and Tor hidden services alike", il web in chiaro come gli hidden service di Tor. Le tre cifre sotto l'hero sono zero risposte rifiutate, un giorno come piano più economico e nessun dato personale.

Nella pagina niente parla di perimetro, cliente, report, metodologia o team. Per come la leggiamo noi, le parole sono prese in prestito dalla sicurezza offensiva e l'offerta si rivolge a chi vuole sentirsi senza restrizioni.

#Come appare il sito da vicino

Cosa abbiamo trovato	Dove
Nessuna pagina dei prezzi. Il link nel menu è un'ancora, e i termini rimandano a "the plan page"	drael.sh/pricing restituisce 404
Il piano più economico, il pass giornaliero, è pubblicizzato tre volte senza prezzo	Home page; assente dall'endpoint dei piani
Il link pubblico "Help" rimanda al login	drael.sh/help
Nessun canale per segnalare una vulnerabilità	/.well-known/security.txt restituisce 404
Gli esempi di codice chiamano https://YOUR-HOST/v1 su un servizio ospitato	Quickstart e documentazione delle immagini
Home page in nove lingue; pagine legali in due; documentazione in una	Sitemap; /es/legal/terms restituisce 404
La pagina 404 mostra un menu in portoghese attorno a un messaggio in inglese	Qualunque pagina mancante, interfaccia in portoghese
Documentazione in inglese con virgola decimale e punto delle migliaia: "0,16", "13.218 tokens"	Documentazione dei limiti e dei tool
La documentazione cita file sorgente interni	"ledger/domain/published_test.go" nella pagina dei limiti
Pagina di stato senza storico degli incidenti, solo un contatore "since the server last started"	drael.sh/status

La home page in portoghese ha frasi che suonano come traduzioni parola per parola di modi di dire inglesi. "Nada fora da mesa" (alla lettera, niente fuori dal tavolo) sta per "Nothing off the table". "Nossas, e alcançam a rede" (nostre, e raggiungono la rete) sta per "Ours, and they reach the net". Un madrelingua portoghese non scriverebbe né l'una né l'altra.

La documentazione racconta la propria storia là dove un cliente si aspetta la descrizione del prodotto: "That split did not earn its complexity and was removed" (quella suddivisione non valeva la sua complessità ed è stata rimossa), "There was, and it was removed", "What rations the scarce KV is the tier itself". Il robots.txt contiene note rivolte a nessuno in particolare ("AI crawlers, stated honestly rather than performatively") e si contraddice, bloccando GPTBot e ClaudeBot in un blocco e consentendo loro /docs in un altro. La schermata di accesso in portoghese accetta un codice "do Drael antigo", del vecchio Drael, e la pagina dei tool parla di "the previous product", il prodotto precedente.

Non possiamo sapere come sia stato prodotto questo sito. Questi difetti ci fanno pensare a testo e pagine generati in fretta e pubblicati senza che una persona li leggesse dall'inizio alla fine.

#Dove la copy e la documentazione non coincidono

Il sito dice	La documentazione dice
Cifra nell'hero: zero risposte rifiutate	provider_refused: "The image model refused this prompt"
"the OSINT nobody else will run"	"they are not what the product leads with"
"There is no AI vendor in the path"	"generate_image is cash at a provider per attempt"
"nothing you ask goes to a third party's API"	La ricerca nei breach "sends the identifier you asked about to the lookup service"
"Priced by the month"	Un mese dura quattro settimane
"the exploit, the fix"	"Nothing Drael says is legal, medical, financial or security advice"

In breve: il modello di immagini rifiuta dei prompt, l'OSINT non è ciò con cui il prodotto si presenta, ogni immagine è denaro pagato a un provider, e l'identificatore cercato parte verso un servizio di lookup. Per ogni riga può esserci una spiegazione. Chi compra non dovrebbe dover conciliare una landing page con il riferimento degli errori dello stesso prodotto.

#Il problema legale è la ricerca nei breach

La funzione OSINT è un solo tool, breach_lookup: "An email, a username, a phone, a domain, a password. It says where an identifier has already leaked." Un'email, uno username, un telefono, un dominio, una password: dice dove un identificatore è già trapelato. Sono dati personali di altre persone. Per la LGPD e il GDPR, cercarli richiede una base giuridica, e in un lavoro per un cliente la ricerca deve rientrare nel perimetro.

Le pagine di Drael non offrono né una base né un contratto. L'identificatore va "to the lookup service and the databases it consults", al servizio di lookup e ai database che consulta, che la pagina sulla privacy non nomina. I termini vietano di usare Drael per "stalk, threaten or expose a private person" (perseguitare, minacciare o esporre un privato) e poi lasciano a te il giudizio e la responsabilità. La manleva è trattata nella nostra lettura dei termini.

#Com'è questo lavoro quando c'è un contratto

L'OSINT vero, in un incarico, parte da un perimetro scritto, come descrivono PTES e NIST SP 800-115, e finisce in un report in cui ogni voce ha una fonte, un orario e una persona che l'ha trattata. Il comunicato dell'IBM Cost of a Data Breach 2026 colloca il costo medio di una violazione a US$ 4,99 milioni, e Netskope conta 223 violazioni delle policy sui dati legate alla GenAI per organizzazione al mese. I clienti leggono quei report, e chiedono dove sono finiti i loro dati.

La ricerca nel dark web di NotHoly elenca i risultati e non apre mai un .onion. read_url legge solo pagine pubbliche. Sui nostri server niente fa scansioni o interroga un target. È meno eccitante della pagina di Drael, ed è ciò che ti permette di mettere lo strumento in uno statement of work.

#Dove si colloca ciascuno

Il sito di Drael vende la sensazione di lavorare senza vincoli, e va bene per chi vuole quella sensazione e un chatbot uncensored con generazione di immagini. NotHoly è costruito per il lavoro di sicurezza a pagamento: un perimetro che il traffico rispetta, un modello di cui puoi citare la base, una ricerca nel dark web che elenca soltanto i risultati, e un read_url che legge solo pagine pubbliche. È meno eccitante di "the OSINT nobody else will run", ed è ciò che puoi mettere in uno statement of work.

#Domande frequenti

#L'OSINT con l'IA è legale?

Dipende dai dati e dalla base su cui li tratti. Le pagine pubbliche sono una cosa. Le credenziali trapelate di persone identificate sono dati personali, e ti servono una base giuridica e di norma un perimetro.

#Che cos'è un breach lookup, e chi vede la query?

La ricerca di un identificatore nei database trapelati. Su Drael l'identificatore viene mandato a un servizio di lookup e a database che la pagina sulla privacy non nomina.

#Drael è uno strumento di sicurezza?

Ne usa il vocabolario. Non abbiamo trovato controlli sul perimetro, audit trail, funzioni per i team né un canale per segnalare vulnerabilità.

#Cosa rende uno strumento di IA adatto al red team?

Esecuzione dai tuoi indirizzi, un modello che puoi nominare, log che tieni tu e un fornitore nel contratto. Vedi red team.

#NotHoly fa OSINT?

Aiuta con metodologia, triage e reportistica, legge pagine pubbliche ed elenca i risultati della ricerca nel dark web. Non esegue breach lookup e non tocca i target.

#Verdetto

Il sito di Drael vende la sensazione di essere un hacker e consegna un chatbot con generazione di immagini, costruito su pagine che puntano a indirizzi inesistenti. Non pensiamo sia stato fatto per chi lo fa di mestiere, e niente di ciò che abbiamo letto fa pensare che sia stato provato da loro. La checklist è in perché i professionisti non portano un incarico su Drael, e i prezzi di NotHoly partono da US$ 5.