Seguridad y datos

• Las descargas las hace un servicio aparte que no tiene acceso a la base de datos, a los pagos ni a la IA. Solo atiende peticiones firmadas por nuestra aplicación.
• Antes de conectar, resolvemos el dominio y rechazamos las direcciones que no son públicas (redes privadas, la propia máquina, rangos internos y los servicios de metadatos de la nube), en IPv4 e IPv6. Lo repetimos en cada redirección, así que una redirección no puede llevarnos a una red interna.
• Solo http y https, en los puertos 80 y 443, y como mucho 5 redirecciones.
• Cada descarga tiene un tope de tamaño (también después de descomprimir, contra los archivos comprimidos malintencionados) y de tiempo, y solo aceptamos páginas HTML.
• No ejecutamos el JavaScript de las páginas que descargamos.
• Límites de uso por conexión y diarios en la auditoría gratis y en las herramientas del panel, para que nadie use el servicio contra terceros.
• El contenido descargado es un dato, nunca una instrucción: la IA que redacta parte del informe recibe hallazgos ya calculados, y un validador descarta su texto si detecta un intento de manipularla.

• Tus datos viajan cifrados (HTTPS) entre tu navegador, nuestra aplicación y nuestros servicios. La aplicación se ejecuta en la UE (París), y la base de datos y los PDF se guardan también allí; nuestro proveedor de alojamiento los cifra en reposo.
• El pago lo gestiona nuestro procesador de pagos: los datos de la tarjeta no pasan por nuestros servidores.
• Trabajamos con proveedores de estas categorías: alojamiento e infraestructura, procesador de pagos, envío de correo y proveedor de IA. El proveedor de IA solo recibe los hallazgos ya calculados de la web auditada, nunca tu correo ni tus datos de pago.
• La base de datos tiene la seguridad por filas activada en todas las tablas y no admite accesos desde el navegador: solo nuestro servidor lee y escribe.
• Los informes comprados antes del 1 de noviembre de 2026 solo llegaron al buzón del dominio auditado, con un enlace secreto: guardamos solo una huella del enlace (no el enlace) y la página no aparece en buscadores. Los resultados de las herramientas están dentro de tu cuenta, protegidos por la sesión y por la seguridad por filas.
• Los PDF se guardan en un almacenamiento privado; solo se descargan desde el enlace del informe.
• Las claves y contraseñas del servicio están en el gestor de secretos del alojamiento, nunca en el código ni en los registros.
• Para los límites de uso no guardamos tu IP: guardamos una huella que cambia cada día y no permite saber quién eres.

Resultado de la auditoría gratis

7 días. Guardamos los hallazgos y su evidencia, el título y la descripción de la página; no el HTML.

Comprobación previa al pago (retirada el 1 de noviembre de 2026)

Ya no se pide para comprar. Las que se hicieron se borran a las 24 horas si no terminaron en una compra.

Resultados de las herramientas de tu cuenta

12 meses (los de Search Console, 90 días). Las pasadas de vigilancia y los informes mensuales siguen mientras la suscripción esté activa; al eliminar un proyecto se cierran.

Informe de pago (retirado el 1 de noviembre de 2026; solo los ya comprados)

90 días desde la entrega: después borramos el informe, sus hallazgos y el PDF. Si pides la nueva comprobación, se conserva hasta que caduque también la nueva.

Pedidos y pagos

6 años por obligación legal (art. 30 del Código de Comercio): correo, importe, fecha y datos de facturación. La retención automática nunca los borra.

Contadores de uso

Solo la huella diaria de la conexión y el número de peticiones. El borrado diario los elimina en cuanto tienen más de 2 días.

Eventos de uso

90 días; después, solo recuentos anónimos por día. Son registros sin IP ni correo (por ejemplo, que se hizo una comprobación o un pago) para medir el servicio.

Mensajes de contacto

No los guardamos en nuestra base de datos: llegan a nuestro buzón a través de nuestro proveedor de envío de correo, que conserva una copia durante un tiempo limitado según su política.

Si encuentras una vulnerabilidad, cuéntanosla por el formulario de contacto, con el motivo «Seguridad». Incluye los pasos para reproducirla y no accedas a datos de otras personas ni hagas pruebas que degraden el servicio. Respondemos por correo.

También lo publicamos en /.well-known/security.txt, el formato estándar para estos avisos.