Qué pasa con tus datos cuando auditas una página
Esta no es una página de frases tranquilizadoras. Es la descripción de lo que nuestro sistema hace realmente con la dirección que pegas, escrita a partir del código que lo hace.
Si nos estás evaluando antes de enviar la URL de un cliente, o necesitas algo para reenviar a un equipo de seguridad, esta es la página que hay que mandar. Responde a una sola pregunta: ¿qué guardan exactamente sobre mi sitio, por qué y durante cuánto tiempo?
Qué hacemos con la página que envías
Solicitudes que el navegador de un visitante podría hacer — y nada que un visitante no podría.
- La muestra gratuita lee lo que tu sitio devuelve al público en la dirección enviada: las cabeceras de la respuesta y el HTML. Alrededor de esa página hace algunas solicitudes pequeñas que cualquier navegador haría: una con una cabecera Origin de prueba, para leer la política de acceso entre orígenes (CORS), y el favicon cuando el HTML no declara ninguno.
- La auditoría de pago también abre la página en un navegador real, como lo haría un visitante, incluso como teléfono, y la carga tres veces más en un teléfono simulado para medir el rendimiento. Lee los archivos que la propia página carga, un número limitado de direcciones a las que la propia página apunta (por ejemplo su aviso de privacidad, su dirección canónica y los iconos de la app), el /robots.txt, los source maps que publican sus scripts, y los registros DNS y los certificados TLS de los hosts del camino. Para medir la respuesta a la interacción, puede abrir un menú, una pestaña o un acordeón de la página.
- El análisis es pasivo. No iniciamos sesión, no enviamos formularios, no inyectamos payloads, no probamos credenciales, no escaneamos puertos ni rastreamos el sitio más allá de las direcciones anteriores. Una URL, un informe: los enlaces encontrados en el código se leen como dato, nunca se siguen como nuevas auditorías. Las solicitudes de nuestros servidores se identifican en el user agent como SiteMeritBot; el navegador se presenta como un navegador común, porque lo que mide es lo que recibe un visitante.
- Cuando nuestros servidores siguen una redirección, vuelven a resolver el destino en cada salto, comprobando la dirección IP antes de conectar. Esa comprobación impide que nuestro motor sea dirigido a una red privada — una protección para ti tanto como para nosotros.
Qué guardamos, registro por registro
Los registros de abajo, y un contador. Esta es la lista completa.
| Qué contiene | Cuánto tiempo lo guardamos | |
|---|---|---|
| El resultado de la auditoría | La URL que enviaste, el idioma del informe, si es un informe de pago, la versión del motor, la fecha y hora, y el resultado completo: cada verificación con su veredicto y la puntuación. Los informes de pago guardan además lo que se observó mientras la página se ejecutaba en un navegador — hallazgos de accesibilidad, las cookies y dominios de terceros vistos durante la carga inicial, y las señales de ejecución comparadas con nuestro catálogo de firmas de tecnología, con la versión del catálogo — y la orientación escrita que se generó. | Una auditoría gratuita nace con una marca de caducidad de siete días. Un informe de pago no tiene plazo de caducidad. |
| La compra | Se escribe solo cuando se completa un pago: la dirección auditada tal como se envió, qué módulos se compraron, el importe y la moneda, y la fecha y hora. Nunca los datos de tu tarjeta — van a Stripe y nunca nos llegan — y tampoco tu correo: se queda en Stripe, y lo leemos de allí solo para enviarte el informe. | Este registro no tiene plazo de caducidad: es el registro contable de la venta. |
| La observación de la compra | Se escribe solo en una auditoría de pago, en almacenamiento privado: lo que nuestros servidores y el navegador observaron en la página — cabeceras, HTML, los archivos que cargó, capturas de pantalla y mediciones de rendimiento — y el paquete de hallazgos enviado al proveedor de IA para escribir el análisis y la guía de corrección. | Se borra automáticamente 30 días después de escrita. El informe hecho a partir de ella se mantiene, como arriba. |
| El registro de la entrega | Se escribe en una auditoría de pago mientras se produce: la dirección auditada, el avance y el tiempo de cada etapa, y el motivo por el que una etapa falló, para que una entrega que se detenga pueda reanudarse o cancelarse — nunca cobrarse sin entregarse. | No se define caducidad para este registro: es el rastro de cómo se entregó la compra. |
| Los eventos de página | Se escribe solo si aceptas en el aviso de cookies: el nombre del evento (una vista de página, un clic en un botón de acción o en un enlace interno, el inicio de una auditoría), la página, el idioma, la versión del contenido de la página, los parámetros del evento, una clave de deduplicación y la fecha. Sin IP, sin cookie y sin identificador de visitante: este registro puede decir cuántas veces se abrió una página, y nunca quién la abrió. | No se define caducidad para este registro. |
| El contador de límite de uso | Un recuento de peticiones por hora, para que un único origen no agote el servicio. Tu IP no se almacena: se reduce a un hash SHA-256 irreversible que sirve de clave del contador. | El contador se marca para caducar dos horas después de la ventana a la que pertenece. |
La razón por la que guardamos resultados es precisamente lo que compraste. Un informe de pago vive en un enlace permanente al que puedes volver, recargar y enviar a un cliente. Borrar el resultado significaría que el entregable no sobrevive al cierre de la pestaña — la persistencia no es un desliz que estemos confesando, es la funcionalidad.
Las dudas sobre tus propios datos, incluida su eliminación, van a privacy@sitemerit.com, que es la cola destinada exactamente a eso.
Qué no te pedimos nunca
Puedes ejecutar una auditoría sin crear una cuenta. No hay registro, no hay contraseña, no hay inicio de sesión y no hay ningún perfil tuyo. En una auditoría gratuita, lo único que entregas es la dirección que quieres revisar. Un correo entra en escena en un solo momento: al pagar, porque el checkout de Stripe lo recoge junto con el cobro.
Quién más recibe los datos
No vendemos, no alquilamos y no intercambiamos datos. Cinco empresas sí reciben una parte, porque el producto no funciona de otra manera — y sería deshonesto dejarlas fuera de esta página.
- Stripe — procesa el pago. Introduces los datos de la tarjeta en el checkout de la propia Stripe, no en nuestro sitio. Recibimos la confirmación y el correo que les diste; el número de la tarjeta nunca llega hasta nosotros.
- OpenAI — recibe datos en un momento. Para el análisis escrito y la guía de corrección de los informes de pago: los hallazgos de tu auditoría, con fragmentos de lo observado en la página (las credenciales encontradas en ella se enmascaran antes), se envían a OpenAI para una interpretación asistida por IA, y el texto que vuelve se guarda con tu informe.
- Resend — envía los correos de tu compra: el enlace a tu informe, o el aviso de que el pedido se canceló. Recibe tu correo y el mensaje; el informe en sí se queda con nosotros.
- Google — aloja los registros. Todo lo que está en la tabla de arriba se guarda en Google Cloud, en un proyecto que operamos nosotros: los registros en Firestore, la observación de la compra en Cloud Storage. Google los conserva como nuestro proveedor de almacenamiento; no le enviamos nada con otro fin.
- Vercel — ejecuta el servicio. Cada petición a nuestro sitio y a nuestra API la atiende Vercel, que ejecuta el código que describe esta página y guarda los registros de peticiones que guarda cualquier plataforma de alojamiento, con su propio plazo. Nuestro código no los lee.
Lo que no tenemos
Dicho aquí, antes de que tengas que preguntarlo.
- No estamos certificados en SOC 2 ni en ISO 27001.
- No hemos pasado por una prueba de intrusión de terceros.
- No tenemos programa de bug bounty y no pagamos por los reportes.
- No afirmamos que tus datos nunca se almacenan. Se almacenan, y las secciones de arriba dicen dónde y durante cuánto tiempo. Cualquier herramienta de auditoría que afirme lo contrario mientras te entrega un enlace permanente al informe está describiendo algo que no es su propia arquitectura.
- Tampoco certificamos el cumplimiento de nadie, ni el nuestro. Nuestros informes detectan señales de riesgo; eso no es un certificado, y ninguna herramienta automática puede emitir uno.
Qué significa "seguridad" dentro del informe
Para que la palabra no quede haciendo un trabajo vago, esta es la lista exacta de lo que nuestro motor observa en la categoría de seguridad — 18 verificaciones, todas leídas de lo que tu sitio ya muestra al público: su respuesta y su certificado:
- Strict-Transport-Security (HSTS)
- Content-Security-Policy (CSP)
- X-Frame-Options
- X-Content-Type-Options
- Referrer-Policy
- Permissions-Policy
- Cookies: si las cookies de sesión e inicio de sesión que el sitio escribe llevan Secure, HttpOnly y un SameSite declarado, leídas de las cabeceras del servidor, los archivos que carga la página y lo que registró el navegador, incluidas las cookies escritas por JavaScript — los periodos de validez largos y las cookies de terceros enviadas sin Secure se señalan como avisos; las cookies de otros dominios se cuentan, no se juzgan
- Si la página enlaza a una política de privacidad — buscamos el enlace, no evaluamos lo que dice la política
- Exposición de servidor y tecnología en las cabeceras
- Configuración de CORS
- El certificado TLS de la página final: dentro de su vigencia, emitido para el nombre del sitio, enviado con sus certificados intermedios y encadenado a una autoridad de confianza
- Contenido mixto: si la página https pide alguna imagen, script, hoja de estilo, fuente, marco u otro subrecurso por http sin protección
- Integridad de recursos: si los scripts y hojas de estilo de versión fija que vienen de otro sitio llevan un hash de integridad válido y que coincide con el archivo
- Credenciales y código fuente expuestos: si la página, sus propios scripts, un source map publicado o una dirección que el navegador pide entrega un secreto o el código del servidor a cualquier visitante — decimos el tipo, el lugar y el tamaño, nunca el valor
- Bibliotecas JavaScript vulnerables: si una biblioteca que la página carga, en una versión identificable por el archivo o por su dirección, tiene un aviso público de vulnerabilidad para esa versión (base Retire.js, copia fechada) — decimos el aviso y la versión corregida; el aviso trata de la versión, no de cómo el sitio la usa
- Rastreo antes del consentimiento: si la página ya habla con servicios de publicidad, analítica o redes sociales, guarda una cookie o clave de almacenamiento de rastreo, inicia una grabación de sesión o pide Google Fonts a Google antes de que el visitante elija algo — detectamos señales de rastreo antes de la elección, vistas desde Estados Unidos, nunca afirmamos que sea ilícito
- Reverse tabnabbing en enlaces externos
- Degradación de protocolo: si algún paso desde la dirección solicitada hasta la página final — una redirección, un meta refresh, una cabecera Refresh o JavaScript — lleva al visitante de una página https segura a una dirección http sin protección
Las 18 son observaciones de lo que tu sitio muestra al público. Ninguna de ellas exige tocar nada privado, y ninguna de ellas es una prueba de intrusión.
Una de esas 18 — la comprobación de Content-Security-Policy — es una que nuestro propio sitio no aprobó, el 1 de agosto de 2026. Endurecimos la política, y el 30 de agosto de 2026 nuestra propia auditoría la aprobó. El registro fechado de ambas: Lee el registro de nuestra propia auditoría
Cómo reportar un problema de seguridad
Si encuentras una vulnerabilidad en el propio SiteMerit, escribe a security@sitemerit.com
- No hay ventana de respuesta garantizada. Somos un equipo pequeño y preferimos decirlo antes que publicar un nivel de servicio que no podemos sostener — prometer 48 horas es la frase más fácil de escribir en esta página y la más difícil de cumplir.
- No hay bug bounty ni recompensa. Y no vamos a insinuar lo contrario quedándonos callados al respecto.
- Lo que sí asumimos es lo que un equipo pequeño puede entregar de verdad: leemos todo lo que llega a esa dirección.
- Y no pondremos abogados contra quien reporte un problema de buena fe.
Mira lo que lee en tu propio sitio
La muestra gratuita se ejecuta en la página que elijas, sin cuenta y sin nada que cancelar.
Iniciar auditoría