Riesgos y seguridad
Cómo detectar un panel SMM nulled o clonado
Actualizado el por el equipo editorial de PanelCompare, 8 min de lectura
¿Qué diferencia hay entre un panel nulled y uno clonado?
Un panel nulled funciona con software pirateado. Alguien eliminó la comprobación de licencia de un script de panel comercial y lo redistribuyó, y la versión redistribuida lleva a menudo añadidos que el original no tenía. Un panel clonado es un arreglo comercial y no de software: dos o más tiendas, marcas distintas y un solo operador detrás.
Te cuestan cosas distintas. Un panel nulled es un problema de seguridad, y sus peores consecuencias recaen sobre el operador y sobre cualquiera cuya clave de API pase por él. Una pareja clonada es un problema de información: hace que un mercado parezca más competitivo de lo que es y significa que dos de las opciones de tu lista fallan el mismo día.
¿Por qué un script nulled es especialmente peligroso aquí?
Por lo que guarda un panel y por cómo trata los secretos la especificación de la API. Un panel almacena las claves de API de los proveedores y los saldos de los clientes, y la especificación API v2 envía las claves como secretos de portador de larga duración en el cuerpo de la petición, sin firma, sin nonce y sin caducidad. Un panel con puerta trasera está justo en el lugar por el que pasan las claves, y no hay protección contra repetición que limite lo que puede hacer una clave copiada.
Las versiones crackeadas de paneles que circulan por foros warez suelen incluir código que desvía esas claves de los proveedores y los saldos de los usuarios, y el operador que tiene el panel a menudo no lo sabe (investigación de mercado de PanelCompare §1.6, 2026-09-06). Lo que se ahorra es una licencia. Lo que queda expuesto es cada clave y cada saldo que toca el panel.
Para un comprador, es un riesgo invisible en un panel de aspecto normal
Un panel nulled no se ve distinto. Tiene el mismo diseño, el mismo catálogo y el mismo proceso de pago, porque es el mismo software sin la comprobación de licencia. Lo que cambia es quién más puede leer la tabla de saldos, y eso no es algo que muestre una tienda.
¿Cómo saber si un panel funciona con una versión pirateada?
No con certeza desde fuera, y conviene decirlo claramente en lugar de fingir lo contrario. Lo que hay son señales correlacionadas, y pesan más en combinación. Las plataformas comerciales son reconocibles, así que la pregunta útil es si un panel funciona con algo que parece una de ellas pero sin lo que tendría un cliente de pago.
- Huellas de un script sin rastro de la plataforma: patrones de URL como /services, /api/v2 y /childpanel, rutas de archivos características y hashes de favicon que coinciden con un script comercial, en un panel sin ninguna huella del proveedor del software.
- Un dominio muy reciente junto a un panel maduro y con todas las funciones. Las funciones vienen gratis con una versión crackeada; la antigüedad del dominio, no.
- Funciones que faltan y que la plataforma auténtica incluye por defecto, que es lo que pasa cuando la versión crackeada es una versión antigua.
- Plantilla y textos copiados tal cual de una demo del proveedor, incluido texto de relleno que nadie editó.
- Ningún dueño visible, ningún dato de empresa y un canal de soporte que es una cuenta personal de mensajería.
Tómalas como razones para mantener un saldo pequeño, no como prueba de nada. La actitud defensiva es la misma que funciona contra cualquier otro riesgo de este mercado: deposita el mínimo, completa un pedido de prueba y no dejes un saldo de trabajo en un panel cuyo operador no puedes identificar.
¿Qué software de panel es legítimo y cómo es?
Conocer las plataformas reales es lo que permite reconocer una versión pirateada, porque un panel nulled es una plataforma legítima sin la comprobación de licencia, no algo construido desde cero. El mercado tiene un número reducido de proveedores de software auténticos y un grupo mucho mayor de revendedores, tiendas de plantillas y webs de afiliados que se presentan como proveedores.
| Software | Modelo | Qué te dice cuando lo ves |
|---|---|---|
| Perfect Panel | SaaS alojado, 50-1300 US$/mes, con +50 US$ por cada 100.000 pedidos adicionales al mes | Fundado en 2013 y estándar premium de facto: reenvío a varios proveedores, API de administración, paneles hijo, unas 230 pasarelas de pago |
| Smart Panel | Licencia de pago único | La alternativa autoalojada más barata; según los informes, carece de gestión de reposición automática y de las opciones de reposición más largas |
| SocPanel | SaaS o script | Se presenta como una alternativa más sencilla a Perfect Panel, con varios idiomas y conversión de moneda |
| JAP Script | Script | Un clon económico de la interfaz de JustAnotherPanel; el parecido es el producto |
| Tiendas de scripts y plantillas | Scripts de pago único y plantillas para Perfect Panel | Varios de estos dominios son webs de reseñas con afiliación a las dos grandes plataformas, no proveedores independientes; trata sus comparaciones como patrocinadas |
| Versiones nulled | Pirateadas | Versiones crackeadas de Perfect Panel y Smart Panel que circulan por foros warez y suelen llevar extracción de claves y de saldos |
Fuente: Investigación de mercado de PanelCompare §1.6, 2026-09-06. Precios y funciones de Perfect Panel comprobados el 2026-09-06.
La consecuencia útil es que el script del panel determina el conjunto de funciones. Sacar su huella a partir de los patrones de URL, las rutas de archivos y los hashes de favicon permite inferir si un panel admite goteo, suscripciones, paneles hijo y reposición automática sin que el panel te lo diga, y así es también como se delata una versión que afirma tener funciones que estructuralmente no puede tener.
¿Cómo detectar dos paneles llevados por un mismo operador?
Buscando cosas que son caras de escribir dos veces y baratas de copiar una vez. Los textos de marketing, las listas de segmentación, los hashes de favicon y de archivos, los endpoints de pago, los emisores de TLS y los datos del titular del dominio salen más baratos de reutilizar que de rehacer, y la reutilización es lo que deja rastro.
| Señal | Cómo comprobarla | Cuánto pesa |
|---|---|---|
| Textos de marketing casi idénticos | Busca entre comillas una frase característica | Mucho; nadie escribe dos veces el mismo párrafo por accidente |
| Listas idénticas de mercados o países segmentados | Compara las listas de países de las dos webs | Mucho, cuando la lista es larga e inusual |
| Hashes de favicon o de archivos compartidos | Compara los hashes de los archivos, no su aspecto | Mucho |
| Mismo endpoint de pago o mismo identificador de comercio | Examina el proceso de depósito | Muchísimo |
| Mismo titular, mismos servidores de nombres o mismo emisor de TLS | Datos de RDAP y del certificado | Moderado; la infraestructura compartida es habitual |
| Catálogos con los mismos mínimos y máximos raros | Compara la larga cola de ofertas, no las populares | Moderado; puede indicar un proveedor de origen común más que un dueño común |
Fuente: Método de detección y casos observados de la investigación de mercado de PanelCompare §5.1, 2026-09-06.
Durante esta investigación aparecieron dos casos concretos. Dos paneles del índice, urpanel.com y whichpanel.com, comparten textos de marketing casi idénticos y una lista de segmentación idéntica de nueve mercados. Otros dos, bulkfollows.com y rezzsmmpanel.com, comparten una empresa operadora con nombre propio. Presentar cualquiera de esas parejas como opciones independientes infla la sensación de variedad del comprador y oculta que, si uno cae, cae también el otro.
¿Por qué importa una pareja clonada si los dos paneles funcionan?
Porque todo el sentido de una lista de preselección son los fallos no correlacionados. Un comprador que mantiene dos cuentas con saldo por redundancia y elige dos marcas de un mismo operador, con un mismo proveedor de origen y un mismo procesador de pagos, ha comprado dos copias del mismo riesgo y ha pagado dos depósitos por ello.
También distorsiona los directorios. Una página de listado que muestra veinte paneles de los que varios son del mismo operador describe un mercado que no existe, y el lector no tiene forma de verlo. Una página de listado de un competidor revisada durante esta investigación fue más allá e incluía un dominio que ni siquiera está registrado, lo que es un buen recordatorio para verificar todos los directorios que leas, incluido este.
¿Qué debería hacer un operador al respecto?
- 1.No uses una versión nulled, por la sencilla razón de que está sentada sobre las claves de tus proveedores y los saldos de tus clientes y no puedes auditarla.
- 2.Si ya usaste una, cambia de inmediato todas las claves de los proveedores y da por hecho que los saldos se podían leer. La especificación no te da ninguna caducidad tras la que esconderte.
- 3.Compra la licencia o usa una plataforma alojada, y deja visible en la web la relación con el proveedor del software. Ser identificable es una señal de confianza que puedes producir con poco costo.
- 4.Si operas más de una marca, declara que el dueño es el mismo. Se puede descubrir, y que te descubran es peor de lo que habría sido declararlo.
- 5.Publica algún tipo de datos de propiedad y de contacto. Cada señal de legitimidad difícil de falsear es una que un negocio real puede aportar y que un clon normalmente no puede.
Respuestas rápidas
¿Qué es un script de panel SMM nulled?
Una versión pirateada de un script de panel comercial a la que se le ha eliminado la comprobación de licencia. Las copias redistribuidas suelen incluir código añadido que extrae las claves de API de los proveedores y los saldos de los usuarios, a menudo sin que el operador lo sepa.
¿Se puede saber si un panel usa un script nulled?
No con certeza desde fuera. Las señales correlacionadas son la huella de un script comercial sin rastro del proveedor del software, un dominio muy reciente con un conjunto de funciones maduro, contenido de demo sin editar y ningún operador identificable.
¿Qué es un panel clonado?
Una segunda tienda sobre el mismo operador, el mismo catálogo y el mismo sistema de pagos, presentada como un competidor independiente. Importa porque dos marcas con un solo operador fallan a la vez, lo que anula el sentido de preseleccionar dos paneles.
¿Cómo comprobar si dos paneles son del mismo operador?
Busca entre comillas una frase característica de una de las webs, compara los hashes de favicon y de archivos en lugar de su aspecto, compara las listas de países segmentados y mira el proceso de depósito en busca de un identificador de comercio compartido.
Cada cifra de esta guía tiene fuente y fecha
Los precios de este mercado cambian cada semana, así que un número sin fecha de captura es decorativo. Cuando esta guía cita una cifra, indica la fuente y cuándo se comprobó. Si alguna es incorrecta, el procedimiento de corrección de la página sobre nosotros tiene como objetivo responder en dos días hábiles, y las correcciones se publican con una nota fechada, no se arreglan en silencio.