Confianza y cumplimiento

El sitio y la API se ejecutan en Vercel ([Región de alojamiento, p. ej., Washington, D.C., EE. UU.]). Los datos se almacenan en una base de datos Neon Postgres ([Región de la base de datos]) a través de una conexión cifrada (TLS). No existen otras copias de tus datos fuera de estos proveedores y de los subencargados que se indican a continuación.

Los escaneos también consultan el dominio auditado en fuentes públicas: Internet Archive (Wayback Machine), Common Crawl y Wikidata. Estas reciben únicamente la dirección del sitio web. No usamos servicios de analítica, de publicidad ni de gestión de etiquetas.

Todavía no existen plazos de eliminación automática para las auditorías y los mensajes. [Plazos de conservación por definir.]

• HTTPS en todas partes, con HTTP Strict Transport Security (un año, incluidos los subdominios).
• Cabeceras de seguridad en cada respuesta: X-Frame-Options DENY, X-Content-Type-Options nosniff, una Referrer-Policy estricta y una Permissions-Policy que desactiva la cámara, el micrófono y la ubicación.
• Sin contraseñas. El inicio de sesión se hace con Google OAuth con comprobaciones de state y PKCE; solo se aceptan correos electrónicos de Google verificados.
• Las sesiones usan tokens aleatorios de 256 bits en cookies HttpOnly, SameSite=Lax y Secure; la base de datos almacena solo su hash SHA-256.
• Las claves de API son valores aleatorios de 256 bits que se muestran una sola vez; solo almacenamos su hash SHA-256. Solo ven tus propias auditorías, tienen límites de frecuencia y puedes revocarlas en cualquier momento en Configuración.
• Enlaces de informe imposibles de adivinar (tokens de compartición aleatorios de 144 bits); las auditorías ejecutadas sin haber iniciado sesión solo pueden guardarse en una cuenta desde el navegador que las ejecutó.
• Comprobaciones de mismo origen en las acciones de la cuenta, como cerrar sesión, guardar auditorías, anular comprobaciones, editar tu nombre y eliminar tu cuenta, y límites de frecuencia en las auditorías, el inicio de sesión, los formularios y otros endpoints públicos.
• Obtención de páginas protegida contra SSRF. El rastreador resuelve cada nombre de host y rechaza las direcciones privadas, de loopback, link-local y de metadatos de la nube, se conecta solo a la dirección que ha comprobado, vuelve a comprobar cada redirección y solo permite los puertos web estándar.
• Puntuación solo en el servidor. Las comprobaciones de KPI y el modelo de puntuación se ejecutan en nuestros servidores; el navegador recibe los resultados, no la lógica de puntuación.
• Ningún secreto en el navegador. Nuestras propias claves de servicio y credenciales residen solo en variables de entorno del servidor.
• Datos personales mínimos. Las direcciones IP del formulario de contacto se almacenan solo como un hash unidireccional; las credenciales encontradas en el código público de un sitio escaneado se conservan solo de forma censurada.

• Solo páginas públicas. Obtenemos páginas a las que cualquiera puede acceder sin iniciar sesión. Solo enviamos solicitudes GET y HEAD, nunca enviamos formularios y omitimos las rutas de administración, de inicio de sesión y de API.
• Rastreador identificado. Las solicitudes de rastreo usan el agente de usuario ContentMasBot/1.0 y respetan las reglas Disallow de robots.txt para todos los agentes y para ContentMasBot.
• Límites. Las páginas por auditoría de sitio dependen de tu plan (10 en Free, como máximo 1000), tres solicitudes a la vez, unos dos minutos y medio de rastreo, 10 segundos y 2 MB por solicitud, y tres redirecciones.
• Comprobaciones comparativas. Para evaluar la visibilidad en IA y en buscadores, un número pequeño y fijo de solicitudes (como máximo 40 para las comprobaciones de visibilidad en IA) vuelve a obtener páginas clave con agentes de usuario de navegador y de rastreadores de IA (como OAI-SearchBot y ClaudeBot) para ver si reciben el mismo contenido.
• Límites de frecuencia. Cada visitante solo puede iniciar unas pocas auditorías de sitio en un periodo corto.

Los propietarios de sitios pueden bloquear ContentMasBot en robots.txt o pedirnos a través de nuestro formulario de contacto que dejemos de escanear su dominio.

Los usuarios que han iniciado sesión pueden exportar sus datos en formato JSON y eliminar ellos mismos toda su cuenta y sus informes en Panel → Configuración. También puedes solicitar una copia de tus datos, su rectificación o supresión, u oponerte al tratamiento: envía tus solicitudes a través de nuestro formulario de contacto con el asunto «Privacy» (privacidad). Respondemos en el plazo de un mes, o antes si tu legislación local lo exige. Consulta Tus derechos para ver los detalles por región.

Si encuentras un problema de seguridad en ContentMas, infórmanos a través de nuestro formulario de contacto con el asunto «Security» (seguridad), incluyendo los pasos para reproducirlo. No accedas a datos de otros usuarios, no degrades el servicio ni publiques detalles antes de que hayamos corregido el problema. Acusaremos recibo de tu informe y te mantendremos informado. La investigación de buena fe que siga estas normas no será perseguida.

Cada auditoría detecta la región del público del sitio (por ejemplo, la UE, el Reino Unido, EE. UU., India, Pakistán o el Golfo) a partir de señales como el dominio, las direcciones, los prefijos telefónicos, el idioma y la moneda, y puedes configurarla tú mismo. Después aplica comprobaciones adaptadas a la región para:

• Privacidad: una política de privacidad fácil de encontrar y la información que exigen leyes como el GDPR (RGPD), el UK GDPR, la CCPA/CPRA, la DPDP Act de India y la UAE PDPL;
• Cookies: si existe un mecanismo de consentimiento cuando se usan rastreadores y cookies no esenciales, como exigen la ePrivacy Directive y la PECR;
• Accesibilidad: barreras técnicas habituales y una declaración de accesibilidad, aplicando la European Accessibility Act y las normas del sector público del Reino Unido cuando corresponda;
• Información al consumidor: condiciones, reembolsos, contacto e identidad de la empresa, según lo esperado para el tipo y la región del sitio.

Estas comprobaciones señalan posibles carencias a partir de lo que es públicamente visible en el sitio. No constituyen asesoramiento jurídico y no pueden confirmar que un sitio cumpla ninguna ley. Consulta a un abogado cualificado antes de basarte en ellas.

Fuentes primarias de las normas que siguen estas comprobaciones:

• Reglamento General de Protección de Datos de la UE: Reglamento (UE) 2016/679 en EUR-Lex
• Guía sobre el UK GDPR y la PECR: Information Commissioner's Office: relación entre la PECR y el UK GDPR (se abre en una pestaña nueva)
• Accesibilidad: W3C Web Content Accessibility Guidelines (WCAG) 2.2 (Pautas de Accesibilidad para el Contenido Web)
• Directrices de búsqueda: Google Search Essentials (Aspectos básicos de la Búsqueda de Google)