Confianza y seguridad
Este sitio es pequeño a propósito. Lo que hace y cómo se gestiona está escrito aquí para que puedas comprobarlo en lugar de fiarte de mi palabra.
Privacidad
No se envía nada a nadie hasta que tú decides. Google Analytics 4 solo se carga si aceptas, en Consent Mode con todo tipo de almacenamiento denegado por defecto y con las funciones de publicidad y perfilado desactivadas. Puedes cambiar de opinión en cualquier momento desde el botón de privacidad del pie de página.
El sitio no instala cookies propias. Tu elección (y tu idioma) se guarda en tu navegador, en tu dispositivo.
Protección en tu navegador
Todas las páginas se sirven con una Content Security Policy estricta. Prohíbe scripts en línea y eval, limita todo a este sitio (más los servidores de analítica de Google, solo tras el consentimiento), impide que se incruste en otras páginas y convierte las peticiones inseguras en seguras. HTTPS es obligatorio durante un año (HSTS), la Permissions Policy desactiva cámara, micrófono, ubicación y otros sensores, y una política de apertura aísla la página de otras ventanas.
Puedes verlo todo en las herramientas de desarrollo de tu navegador, en la pestaña Red.
Dominio y correo
DNSSEC está activado en el dominio. Las direcciones de correo de este dominio solo reciben y reenvían: SPF y DMARC están configurados para rechazar cualquier mensaje enviado en nombre del dominio que no esté autorizado.
Los avisos de seguridad van a [email protected]. El archivo de contacto legible por máquinas (RFC 9116) está en /.well-known/security.txt y se renueva con cada publicación.
Cómo llega un cambio a producción
Cada cambio pasa por un conjunto automático de pruebas que cubre accesibilidad, contraste de color, cabeceras de seguridad, peso de página y las páginas generadas, además de una auditoría de dependencias que falla ante hallazgos de gravedad alta y un análisis de código en busca de vulnerabilidades. Una comprobación falla si los archivos publicados difieren de lo que genera el código fuente.
Un cambio se publica primero en una copia de pruebas protegida con contraseña. Publicar en producción es un paso manual aparte que exige una confirmación escrita y la aprobación de un revisor, y la versión anterior sigue disponible como respaldo.
La velocidad es un requisito
Una primera visita tiene un presupuesto de 200 KB y 12 peticiones, controlado por pruebas: un cambio que lo supere no se publica. «Cómo se ha comportado esta página», en el pie de la página de inicio, muestra lo que costó tu propia visita, medido por tu navegador.
Vigilancia
Cada 30 minutos una comprobación automática confirma que el sitio responde, que están las cabeceras de seguridad, que las direcciones antiguas y con www redirigen bien, que el certificado es válido al menos dos semanas más, que el enrutamiento del correo funciona y que el archivo de contacto de seguridad no ha caducado. Un fallo envía una alerta.
Código abierto
Todo el sitio, con sus pruebas y su proceso de publicación, es público.
Avisar de un problema
¿Has encontrado algo que no va bien? Escribe a [email protected]. Lo lee una persona.