Helix Scan: cómo construimos nuestra propia máquina de captar clientes

Helix es una agencia nueva. Cuando abrimos, no teníamos cartera de clientes que enseñar, ni casos de éxito ajenos que contar. Así que decidimos que el primer caso fuera nuestro: construir algo que resolviera un problema real de captación, para nosotros mismos, y enseñarlo tal cual funciona. Sin cliente inventado detrás. Sin cifra que no podamos defender si nos preguntas de dónde sale.

El encargo: captar sin cartera

El problema es simple de describir y difícil de resolver: ¿cómo consigues las primeras conversaciones cuando todavía no tienes nada que enseñar? Un formulario de contacto no convierte solo. Un blog necesita meses para posicionar. Necesitábamos algo que diera valor real en el primer segundo de contacto, antes de pedir nada a cambio.

La respuesta que elegimos fue construir una herramienta gratuita que un dueño de pyme pudiera usar sin registrarse y que le dijera algo que ya le importa: cómo está su web ahora mismo. Así nació Helix Scan, el escáner que audita cualquier URL en menos de un minuto.

Lo que construimos

Metes tu dominio y en 30-60 segundos tienes un diagnóstico en cinco frentes: rendimiento móvil (vía PageSpeed Insights de Google), SEO técnico, accesibilidad, cabeceras de seguridad y validez del certificado SSL. Y en vez de una tabla de métricas técnicas, recibes un informe en lenguaje de negocio: qué está fallando y qué te cuesta eso en clientes, no solo qué puntuación marca un medidor.

La puntuación general aparece gratis, en pantalla, sin pedir nada. El detalle de cada fallo (qué corregir y cómo) se desbloquea con el email. Ese es el gate: no escondemos el valor detrás de un formulario, solo la profundidad.

Los problemas reales que resolvimos

Construir "un formulario que llama a una API y pinta un resultado" suena trivial hasta que lo pones en producción y descubres todo lo que puede salir mal.

PageSpeed Insights tarda lo que tarda, y no es poco. La API de Google, en modo móvil con tres categorías activas, responde habitualmente en 20-40 segundos. Nuestra primera versión abortaba la llamada a los 20 segundos porque nos parecía "tiempo de sobra". Resultado: casi todas las auditorías en producción degradaban a "sin datos" y el motor de puntuación, al no tener nada que penalizar, les ponía 100 sobre 100. Una web rota apareciendo como perfecta es el peor bug posible en una herramienta que existe para decir la verdad. Lo arreglamos subiendo el timeout a 50 segundos con reintento automático, apoyados en que el worker que ejecuta el escaneo tiene maxDuration de 300 segundos, así que dos intentos de 50 caben de sobra sin tocar la experiencia del usuario.

Una herramienta gratuita y pública es un imán de abuso. En cuanto publicas algo que hace peticiones salientes gratis, alguien lo va a usar como proxy o como ariete contra un tercero. Añadimos un circuit breaker global respaldado en Supabase (el estado vive en base de datos, no en memoria, porque las funciones serverless no comparten proceso entre invocaciones): si el volumen de escaneos por minuto supera el umbral, el circuito se abre, deja de aceptar peticiones nuevas y se recupera solo pasado un periodo de enfriamiento.

Escanear "cualquier URL" es, técnicamente, dejar que un desconocido te diga a qué IP conectarte. Sin control, eso es un vector clásico de SSRF: un atacante te pasa una URL que resuelve a una IP interna de tu propia infraestructura y usa tu servidor como puente. Construimos un fetcher que revalida cada salto (la petición original y cada redirección) resolviendo el DNS y comprobando que la IP resultante no es privada, antes de conectar. Nada de resolver una vez y confiar en esa resolución para todo el recorrido, que es exactamente el hueco que permite el DNS rebinding.

La puntuación tiene que ser la misma hoy que dentro de un mes para la misma web. Nada de aleatoriedad ni de dependencias externas mutando el resultado sin que cambie el sitio auditado. El cálculo de la puntuación es una función pura, con sus propios tests, que además sabe degradar con elegancia: si PageSpeed Insights falla del todo (tras los reintentos), la puntuación se sigue calculando a partir de nuestras propias comprobaciones, en vez de fallar toda la auditoría.

El escaneo entero corre en un worker asíncrono aparte, desacoplado del límite de tiempo por defecto de una Server Action, precisamente para poder permitirse los timeouts de PageSpeed sin que el usuario vea un error de servidor a mitad de proceso.

Cómo capta clientes

El flujo completo es el funnel entero en una sola herramienta: el visitante escanea su web gratis y ve su puntuación al instante, sin registro. Si quiere el detalle (qué corregir exactamente y por qué), deja su email y recibe el informe completo por correo. Ese email entra directo al CRM de Helix como lead cualificado: alguien que ya demostró que le importa el estado de su web, con un diagnóstico real en la mano para arrancar la conversación.

Olvídate del lead frío al que hay que explicarle todo desde cero: quien llega así ya vio, con datos suyos, dónde está perdiendo dinero.

Resultado honesto

Helix Scan está en producción hoy, en /auditoria-web. Es la primera pieza del funnel de captación de Helix y, en cuanto a validación técnica, funciona: escanea, puntúa, entrega informe, alimenta el CRM. Lo que no vas a leer aquí son cifras de tráfico o de leads generados, porque no llevamos suficiente tiempo en producción para que esos números signifiquen algo, y no vamos a inventarlos para que el caso suene mejor.

Si quieres entender cómo encaja esta pieza en cómo trabajamos en general, el Método HELIX explica las cinco fases completas. Y si quieres profundizar en qué mide exactamente una auditoría web y por qué importa, tenemos un artículo entero dedicado a eso.

Esta herramienta capta clientes para Helix cada día, sin que nadie tenga que estar pendiente de ella. Si tu negocio no tiene todavía nada parecido, es la conversación que deberíamos tener: podemos construirte la tuya, una herramienta gratuita que trabaje para ti mientras haces cualquier otra cosa.