ejemplo.itvweb.es

Guía de corrección ~10 min · Fácil

1. En el proveedor de DNS, añadir al dominio ejemplo.itvweb.es un registro TXT:
2. Esperar la propagación (5-30 min) y comprobar: dig TXT ejemplo.itvweb.es
3. Si se usa Google Workspace: include:_spf.google.com ya está incluido.

v=spf1 include:_spf.google.com mx ~all

Generador de registros SPF

Guía de corrección ~15 min · Fácil

1. Crear el registro TXT de _dmarc.ejemplo.itvweb.es:
2. rua= es la dirección donde se reciben los informes DMARC (diarios).
3. Empezar con p=quarantine y pasar a p=reject tras la fase de seguimiento.
4. Comprobar: dig TXT _dmarc.ejemplo.itvweb.es

v=DMARC1; p=quarantine; rua=mailto:dmarc@ejemplo.itvweb.es; ruf=mailto:dmarc@ejemplo.itvweb.es; pct=100; adkim=r; aspf=r

DMARC Analyzer (gratuito) · Google Postmaster Tools

Guía de corrección ~2-4 h · Media

1. Importante de entrada: un banner por sí solo no basta. Debe bloquear los servicios de verdad hasta que se acepte. Muchas instalaciones muestran solo un aviso mientras el seguimiento ya funciona en segundo plano.
2. Elegir la herramienta. En WordPress son habituales Complianz, Real Cookie Banner o Borlabs Cookie, porque bloquean ellas mismas los scripts. Sin WordPress, Klaro es una solución libre.
3. Marcar como bloqueados en la herramienta los scripts que requieren consentimiento, no solo mencionarlos en el texto.
4. El banner necesita un botón de rechazar al mismo nivel que el de aceptar. Solo "Aceptar" más "Configuración" no es suficiente.
5. Las casillas premarcadas no son válidas, salvo para las cookies técnicas necesarias.
6. Para terminar, comprobar: ventana privada, Herramientas de desarrollo → Aplicación → Cookies. Antes del consentimiento no debe haber ninguna cookie de seguimiento.
7. Referencia normativa (solo cita, sin valoración): art. 22.2 de la LSSI-CE, RGPD y guía de cookies de la AEPD.

# Orden de comprobación tras la instalación:
1. Abrir una ventana privada, cargar la página, NO hacer clic en nada
2. DevTools > Application > Cookies > dominio propio
   -> solo se admite la cookie de sesión o de idioma del sitio
3. DevTools > Network, filtrar por 'google'
   -> ninguna petición a analytics/googletagmanager
4. Pulsar 'Rechazar' -> sigue sin cargarse nada
5. Pulsar 'Aceptar' -> ahora sí puede cargarse

Klaro (herramienta de consentimiento libre) · Guía sobre el uso de las cookies (AEPD) · Ley 34/2002 (LSSI-CE), BOE

Guía de corrección ~20 min · Fácil

1. La dirección del atributo action debe empezar por https:// o ser relativa (/contacto). Cambiar cualquier dirección http:// y servir la propia página solo por HTTPS.
2. Si el formulario envía a un servicio externo (herramienta de boletines, proveedor de formularios): nombrar al destinatario en la política de privacidad y comprobar si existe contrato de encargado del tratamiento. Eso no es visible desde fuera.
3. Junto al botón de enviar, añadir una frase con enlace a la política de privacidad. Un enlace solo en el pie de página no es información 'en el formulario'.
4. Si se pide consentimiento (por ejemplo, para un boletín), la casilla con el mismo enlace forma parte del formulario. No dejarla marcada de antemano.

<form action="/contacto" method="post">
  <input type="email" name="email" required>
  <button type="submit">Enviar</button>
  <p><small>Información sobre el tratamiento de los datos: <a href="/politica-de-privacidad/">Política de privacidad</a></small></p>
</form>

RGPD, art. 13 (EUR-Lex) · LOPDGDD (BOE)

Guía de corrección ~10 min · Fácil

1. Abrir la configuración de nginx o Apache y añadir la cabecera:
2. Recargar la configuración: nginx -t && systemctl reload nginx o apachectl configtest && systemctl reload apache2
3. Comprobar: curl -I https://ejemplo.itvweb.es | grep -i strict-transport-security

# nginx (dentro del bloque server { }):
add_header Strict-Transport-Security "max-age=31536000" always;

# Apache (.htaccess o VirtualHost):
Header always set Strict-Transport-Security "max-age=31536000"

Mozilla Observatory

Guía de corrección ~10 min · Fácil

1. Abrir la configuración de nginx o Apache y añadir la cabecera:
2. Recargar la configuración: nginx -t && systemctl reload nginx o apachectl configtest && systemctl reload apache2
3. Comprobar: curl -I https://ejemplo.itvweb.es | grep -i content-security-policy

# nginx (dentro del bloque server { }):
add_header Content-Security-Policy "default-src 'self'; img-src 'self' data: https:; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline'; font-src 'self' https:;" always;

# Apache (.htaccess o VirtualHost):
Header always set Content-Security-Policy "default-src 'self'; img-src 'self' data: https:; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline'; font-src 'self' https:;"

Mozilla Observatory

Guía de corrección ~10 min · Fácil

1. Abrir la configuración de nginx o Apache y añadir la cabecera:
2. Recargar la configuración: nginx -t && systemctl reload nginx o apachectl configtest && systemctl reload apache2
3. Comprobar: curl -I https://ejemplo.itvweb.es | grep -i x-frame-options

# nginx (dentro del bloque server { }):
add_header X-Frame-Options "SAMEORIGIN" always;

# Apache (.htaccess o VirtualHost):
Header always set X-Frame-Options "SAMEORIGIN"

Mozilla Observatory

Guía de corrección ~10 min · Fácil

1. Abrir la configuración de nginx o Apache y añadir la cabecera:
2. Recargar la configuración: nginx -t && systemctl reload nginx o apachectl configtest && systemctl reload apache2
3. Comprobar: curl -I https://ejemplo.itvweb.es | grep -i x-content-type-options

# nginx (dentro del bloque server { }):
add_header X-Content-Type-Options "nosniff" always;

# Apache (.htaccess o VirtualHost):
Header always set X-Content-Type-Options "nosniff"

Mozilla Observatory

Guía de corrección ~10 min · Fácil

1. Abrir la configuración de nginx o Apache y añadir la cabecera:
2. Recargar la configuración: nginx -t && systemctl reload nginx o apachectl configtest && systemctl reload apache2
3. Comprobar: curl -I https://ejemplo.itvweb.es | grep -i referrer-policy

# nginx (dentro del bloque server { }):
add_header Referrer-Policy "strict-origin-when-cross-origin" always;

# Apache (.htaccess o VirtualHost):
Header always set Referrer-Policy "strict-origin-when-cross-origin"

Mozilla Observatory

Guía de corrección ~10 min · Fácil

1. Abrir la configuración de nginx o Apache y añadir la cabecera:
2. Recargar la configuración: nginx -t && systemctl reload nginx o apachectl configtest && systemctl reload apache2
3. Comprobar: curl -I https://ejemplo.itvweb.es | grep -i permissions-policy

# nginx (dentro del bloque server { }):
add_header Permissions-Policy "geolocation=(), camera=(), microphone=()" always;

# Apache (.htaccess o VirtualHost):
Header always set Permissions-Policy "geolocation=(), camera=(), microphone=()"

Mozilla Observatory

Guía de corrección ~20 min · Fácil

1. Generar la clave DKIM en el proveedor de correo (Google Workspace, Mailgun, Mailchimp, etc.).
2. Añadir en el DNS el registro TXT generado (por ejemplo default._domainkey.ejemplo.itvweb.es).
3. En Google Workspace: Admin → Aplicaciones → Google Workspace → Gmail → Autenticar el correo.
4. En Mailgun: Sending → Domains → ejemplo.itvweb.es → DNS Records.
5. Comprobar: dig TXT default._domainkey.ejemplo.itvweb.es

Comprobación DKIM · DKIM en Google Workspace

Guía de corrección ~1 h · Fácil

1. Al cargar las fuentes desde Google, su servidor recibe la dirección IP de cada visita (un dato personal a efectos del RGPD). Alojarlas en local lo evita y se resuelve en una hora.
2. Descargar las fuentes utilizadas (google-webfonts-helper genera un paquete listo con archivos woff2 y CSS).
3. Copiar los archivos al propio proyecto, por ejemplo en /assets/fonts/.
4. En el código fuente, eliminar la llamada a fonts.googleapis.com e incluir en su lugar el CSS propio.
5. Comprobar: Herramientas de desarrollo → Red → recargar la página. No debe haber ninguna petición a fonts.googleapis.com ni a fonts.gstatic.com.
6. En WordPress: muchos temas cargan las fuentes por su cuenta. En ese caso, buscar también en el tema o usar un plugin que las aloje en local.

<!-- FUERA del <head>: -->
<link href="https://fonts.googleapis.com/css2?family=Inter" rel="stylesheet">

<!-- DENTRO, CSS propio: -->
<link href="/assets/fonts/fonts.css" rel="stylesheet">

/* /assets/fonts/fonts.css */
@font-face {
  font-family: 'Inter';
  font-style: normal;
  font-weight: 400;
  font-display: swap;
  src: url('/assets/fonts/inter-v13-latin-regular.woff2') format('woff2');
}

google-webfonts-helper (paquete de descarga) · Reglamento (UE) 2016/679 (RGPD)

Guía de corrección ~1 h · Fácil

1. Al cargar las fuentes desde Google, su servidor recibe la dirección IP de cada visita (un dato personal a efectos del RGPD). Alojarlas en local lo evita y se resuelve en una hora.
2. Descargar las fuentes utilizadas (google-webfonts-helper genera un paquete listo con archivos woff2 y CSS).
3. Copiar los archivos al propio proyecto, por ejemplo en /assets/fonts/.
4. En el código fuente, eliminar la llamada a fonts.googleapis.com e incluir en su lugar el CSS propio.
5. Comprobar: Herramientas de desarrollo → Red → recargar la página. No debe haber ninguna petición a fonts.googleapis.com ni a fonts.gstatic.com.
6. En WordPress: muchos temas cargan las fuentes por su cuenta. En ese caso, buscar también en el tema o usar un plugin que las aloje en local.

<!-- FUERA del <head>: -->
<link href="https://fonts.googleapis.com/css2?family=Inter" rel="stylesheet">

<!-- DENTRO, CSS propio: -->
<link href="/assets/fonts/fonts.css" rel="stylesheet">

/* /assets/fonts/fonts.css */
@font-face {
  font-family: 'Inter';
  font-style: normal;
  font-weight: 400;
  font-display: swap;
  src: url('/assets/fonts/inter-v13-latin-regular.woff2') format('woff2');
}

google-webfonts-helper (paquete de descarga) · Reglamento (UE) 2016/679 (RGPD)

Guía de corrección ~1 h · Fácil

1. El art. 10 de la LSSI-CE (Ley 34/2002) establece la información general que debe ofrecer quien presta un servicio de la sociedad de la información con actividad económica. Habitualmente se publica en una página de "Aviso legal".
2. Crear una página /aviso-legal con los datos identificativos: denominación social o nombre y apellidos, domicilio, dirección de correo electrónico y otro medio de contacto directo, NIF/CIF, datos de inscripción en el Registro Mercantil si procede y, para profesiones reguladas, colegio profesional y título.
3. Colocar el enlace en el pie de la plantilla para que aparezca en todas las páginas.
4. El enlace debe poder identificarse con claridad, por ejemplo como "Aviso legal". Nombres creativos como "Quiénes somos" o "Contacto" no resultan claros para esta función.
5. Qué datos corresponden exactamente a cada caso lo determina el titular junto con su asesoría; aquí solo se indica la norma.

<!-- en el pie de la plantilla -->
<footer>
  <nav aria-label="Información legal">
    <a href="/aviso-legal">Aviso legal</a>
    <a href="/politica-de-privacidad">Política de privacidad</a>
    <a href="/politica-de-cookies">Política de cookies</a>
  </nav>
</footer>

Ley 34/2002 (LSSI-CE), art. 10, BOE

Guía de corrección ~2 h · Media

1. El art. 13 del RGPD (y la LOPDGDD) regula la información que debe facilitarse a quien aporta sus datos personales. Afecta a prácticamente cualquier web, porque el propio servidor ya registra la dirección IP en sus archivos de registro.
2. Crear una página /politica-de-privacidad. Suele incluir: responsable del tratamiento y datos de contacto, qué datos se tratan y con qué finalidad, base jurídica, plazo de conservación, destinatarios y servicios utilizados, derechos de las personas interesadas y derecho a reclamar ante la autoridad de control (en España, la AEPD).
3. Lo decisivo es que figuren todos los servicios: cada servicio externo que ha detectado esta revisión debe estar mencionado.
4. El texto debe corresponder a la web. Una política copiada sin revisar describe cosas que no existen y omite las que sí.
5. Colocar el enlace en el pie de la plantilla, junto al Aviso legal.

# Estos servicios deben aparecer en la política
# si se han detectado en el informe:
- Alojamiento web / archivos de registro del servidor   (siempre)
- Google Fonts                   (si se cargan externamente)
- Google Analytics / Tag Manager
- Píxel de Meta
- Google Maps / YouTube
- reCAPTCHA
- Formulario de contacto / boletín

Reglamento (UE) 2016/679 (RGPD), art. 13 · Ley Orgánica 3/2018 (LOPDGDD), BOE

Guía de corrección ~20 min por formulario · Fácil

1. Campos afectados: email.
2. Cada campo lleva un <label> cuyo for apunta al id del campo. Es la solución limpia, porque además un clic en la etiqueta coloca el cursor en el campo.
3. Un texto de ejemplo (placeholder) no sustituye a la etiqueta: desaparece al escribir, suele tener poco contraste y algunos lectores de pantalla ni lo leen.
4. Si la etiqueta debe quedar invisible por motivos de diseño, no usar display:none, porque también la oculta al lector de pantalla. Usar una clase auxiliar que solo la saque de la vista.
5. Marcar los campos obligatorios con required, no solo con un asterisco en el texto.
6. Casi siempre afecta al formulario de contacto, es decir, justo al camino por el que llegan las consultas.

<!-- INCORRECTO: solo texto de ejemplo -->
<input type="email" placeholder="Su correo">

<!-- CORRECTO -->
<label for="email">Correo electrónico</label>
<input type="email" id="email" name="email" required
       autocomplete="email" placeholder="nombre@ejemplo.es">

<!-- Etiqueta oculta a la vista, presente para el lector de pantalla -->
<label for="busqueda" class="visually-hidden">Término de búsqueda</label>
<input type="search" id="busqueda" name="q">

<style>
.visually-hidden {
  position: absolute; width: 1px; height: 1px;
  padding: 0; margin: -1px; overflow: hidden;
  clip: rect(0 0 0 0); white-space: nowrap; border: 0;
}
</style>

WCAG 3.3.2 (Etiquetas o instrucciones)

Guía de corrección ~1 h · Media

1. Detectada: jQuery 1.12.4; las entradas citadas afectan solo a versiones anteriores a 3.5.0.
2. Averiguar de dónde procede el archivo: tema, plugin, maquetador o código propio. En WordPress suele traerlo un plugin; entonces se actualiza el plugin en lugar de sustituir el archivo.
3. Pasar a una versión actual de la misma rama o superior. En jQuery, el plugin jQuery Migrate ayuda a localizar llamadas antiguas que dejan de funcionar al saltar a la 3.x.
4. Después, recorrer la web: menús, carruseles, formularios y ventanas emergentes son los sitios habituales donde se esconden bibliotecas antiguas.
5. Conviene servir las bibliotecas desde el propio servidor en lugar de cargarlas desde una CDN. Evita una conexión con terceros y mantiene la versión bajo control.

# En proyectos con npm: mostrar vulnerabilidades conocidas en las dependencias
npm audit

Retire.js (base de datos de vulnerabilidades) · Guía de actualización de jQuery · Migración de Bootstrap

Guía de corrección ~1 a 3 h · Media

1. Primero, una copia de seguridad completa (archivos y base de datos) y, si es posible, probar la actualización en una copia de pruebas.
2. Llevar el CMS a la versión actual con soporte. Si se salta varias versiones principales, leer la guía de migración del fabricante y comprobar la compatibilidad de temas y extensiones.
3. Después, quitar o desactivar la etiqueta meta generator para que la versión no figure en el código fuente. En WordPress basta la línea de abajo en el functions.php del tema.
4. Los parámetros de versión como ?ver=6.x en archivos del núcleo no desaparecen solos; no son críticos mientras el sistema esté al día.

// WordPress: quitar la etiqueta meta generator (functions.php)
remove_action('wp_head', 'wp_generator');

Actualizar WordPress · Joomla · Actualizar Drupal · TYPO3: instalación y actualización · Actualizar PrestaShop

Guía de corrección ~30 min (más la obtención del certificado) · Media

1. ⚠️ Falta un requisito: todavía no hay registro DMARC. BIMI solo funciona con DMARC en p=quarantine o p=reject; primero hay que resolver el hallazgo de DMARC.
2. Hay que contar con costes recurrentes: sin certificado, ninguno de los grandes proveedores muestra el logotipo. Gmail exige como mínimo un CMC (Common Mark Certificate) y Apple Mail un VMC (Verified Mark Certificate); la marca azul de verificación de Gmail solo existe con VMC. Ambos los emiten DigiCert y Entrust y se facturan cada año.
3. Y conviene comprobar de antemano si se puede obtener uno: un VMC exige una marca gráfica registrada; un CMC, al menos doce meses de uso demostrable del mismo logotipo. Un logotipo reciente sin marca registrada no cumple ninguna de las dos condiciones.
4. Alojar el logotipo en SVG (Tiny PS, cuadrado, fondo de un solo color, máx. 32 KB) en https://ejemplo.itvweb.es/bimi-logo.svg.
5. Solo cuando existan certificado y logotipo: crear el registro TXT de default._bimi.ejemplo.itvweb.es y apuntar con el campo a= al archivo del certificado.

v=BIMI1; l=https://ejemplo.itvweb.es/bimi-logo.svg; a=https://ejemplo.itvweb.es/bimi-cert.pem

Validador BIMI · Requisitos del SVG

Guía de corrección ~45 min · Media

1. 1. Crear el subdominio mta-sts.ejemplo.itvweb.es y hacerlo accesible por HTTPS con un certificado válido; basta un alojamiento sencillo, solo se sirve un archivo de texto.
2. 2. Publicar el archivo de política en https://mta-sts.ejemplo.itvweb.es/.well-known/mta-sts.txt (texto plano):
3. ⚠️ Importante: no se han podido leer los registros MX del dominio. Hay que indicar abajo todos los servidores que aceptan correo del dominio, con el nombre de host de los registros MX y no con el dominio. Una entrada que falte o sea errónea, junto con mode: enforce, hace que deje de recibirse correo.
4. 3. Solo después crear el registro TXT de _mta-sts.ejemplo.itvweb.es. Al revés, los remitentes buscarían una política que todavía no existe.
5. 4. Dejar entre dos y cuatro semanas en mode: testing, luego pasar a mode: enforce y subir max_age a 604800. Testing informa de problemas pero no bloquea nada; enforce sí bloquea. Al cambiar, incrementar el id del registro TXT; si no, los remitentes conservan la versión antigua en caché.
6. 5. Antes de pasar a enforce, comprobar que cada servidor de correo indicado tiene un certificado válido emitido exactamente para su nombre de host. Si no, la comprobación falla y el correo queda retenido.

# 1. Archivo de política: https://mta-sts.ejemplo.itvweb.es/.well-known/mta-sts.txt
version: STSv1
mode: testing
mx: INDICAR-AQUI-LOS-SERVIDORES-DE-CORREO
max_age: 86400

# 2. Registro DNS TXT (_mta-sts.ejemplo.itvweb.es), crearlo DESPUÉS del archivo de política:
v=STSv1; id=20261106

Validador MTA-STS

Guía de corrección ~10 min · Fácil

1. Crear el registro DNS CAA de ejemplo.itvweb.es:
2. Si se usa Let's Encrypt: indicar letsencrypt.org.
3. Si se usa SSL de Cloudflare: añadir además pki.goog.
4. Con iodef= se recibe un correo cuando alguien solicita un certificado sin autorización.

ejemplo.itvweb.es. CAA 0 issue "letsencrypt.org"
ejemplo.itvweb.es. CAA 0 issuewild ";"
ejemplo.itvweb.es. CAA 0 iodef "mailto:admin@ejemplo.itvweb.es"

Guía de corrección ~30 min · Fácil

1. La página carga un archivo de cdnjs.cloudflare.com. Con ello, un tercero conoce la dirección IP de cada visita.
2. Descargar el archivo y servirlo desde el propio alojamiento. Así se resuelve el punto de protección de datos y, de paso, la web deja de depender de la disponibilidad del servicio ajeno.
3. En el código fuente, sustituir la URL externa por la ruta propia.
4. Comprobar: Herramientas de desarrollo → Red; el dominio ya no debe aparecer.
5. Si la carga externa se mantiene, el servicio debe figurar en la política de privacidad.

<!-- antes -->
<script src="https://cdnjs.cloudflare.com/....js"></script>

<!-- después -->
<script src="/assets/js/....js"></script>

Guía de corrección ~30 min · Fácil

1. Crear una página propia de 'Política de cookies' que indique, por cada cookie, el nombre, el proveedor, la finalidad y la duración.
2. No mantener la lista a mano: herramientas de consentimiento como Cookiebot, Complianz o iubenda generan la tabla a partir de un análisis y la mantienen al día.
3. Colocar el enlace en un lugar bien visible: en el pie de todas las páginas y en la primera capa del aviso de cookies, con la denominación habitual en lugar de un rodeo por otras páginas.
4. También se puede integrar la información sobre cookies en la política de privacidad. La guía de la AEPD menciona esa vía; en ese caso, el enlace debe nombrarlo con claridad.

<a href="/politica-de-cookies/">Política de cookies</a>

AEPD: Guía sobre el uso de las cookies · LSSI-CE, art. 22 (BOE)

Guía de corrección ~20 min · Fácil

1. La dirección del atributo action debe empezar por https:// o ser relativa (/contacto). Cambiar cualquier dirección http:// y servir la propia página solo por HTTPS.
2. Si el formulario envía a un servicio externo (herramienta de boletines, proveedor de formularios): nombrar al destinatario en la política de privacidad y comprobar si existe contrato de encargado del tratamiento. Eso no es visible desde fuera.
3. Junto al botón de enviar, añadir una frase con enlace a la política de privacidad. Un enlace solo en el pie de página no es información 'en el formulario'.
4. Si se pide consentimiento (por ejemplo, para un boletín), la casilla con el mismo enlace forma parte del formulario. No dejarla marcada de antemano.

<form action="/contacto" method="post">
  <input type="email" name="email" required>
  <button type="submit">Enviar</button>
  <p><small>Información sobre el tratamiento de los datos: <a href="/politica-de-privacidad/">Política de privacidad</a></small></p>
</form>

RGPD, art. 13 (EUR-Lex) · LOPDGDD (BOE)

Guía de corrección ~15 min · Fácil

1. Decidir primero con el cliente qué debe regir. Abajo hay tres variantes habituales.
2. El archivo está en https://ejemplo.itvweb.es/robots.txt. En WordPress lo genera a menudo un plugin de SEO; en ese caso, cambiarlo allí.
3. Si el sitio está detrás de Cloudflare: comprobar si está activado el robots.txt gestionado o el bloqueo de bots de IA. Ese ajuste inserta el bloqueo automáticamente y prevalece sobre lo que diga el archivo propio.
4. No olvidar otras señales: ai.txt, /.well-known/tdmrep.json, una cabecera tdm-reservation o metaetiquetas noai. Si contradicen al robots.txt, la situación resulta poco clara para los servicios de IA.
5. Después, repetir el análisis: el hallazgo de acceso de la IA muestra el nuevo estado por servicio.

# Variante A: todos los servicios de IA pueden leer
User-agent: *
Allow: /

# Variante B: búsqueda con IA sí, entrenamiento de IA no
User-agent: GPTBot
User-agent: ClaudeBot
User-agent: Google-Extended
User-agent: Applebot-Extended
User-agent: CCBot
User-agent: meta-externalagent
Disallow: /

User-agent: *
Allow: /

# Variante C: ningún servicio de IA
User-agent: GPTBot
User-agent: OAI-SearchBot
User-agent: ChatGPT-User
User-agent: ClaudeBot
User-agent: Claude-SearchBot
User-agent: Claude-User
User-agent: PerplexityBot
User-agent: Perplexity-User
User-agent: Google-Extended
User-agent: Applebot-Extended
User-agent: CCBot
User-agent: meta-externalagent
Disallow: /

OpenAI: resumen de rastreadores · Anthropic: resumen de rastreadores · Perplexity: resumen de rastreadores

Guía de corrección ~10 min · Fácil

1. Guardar un archivo de texto en /.well-known/security.txt (crear la carpeta .well-known en la raíz web).
2. Como mínimo dos líneas: Contact con una dirección de correo o una URL, y Expires con una fecha que no supere un año en el futuro.
3. Anotar la fecha de caducidad en el calendario. Un archivo caducado indica a los investigadores que nadie lo atiende.
4. Comprobar: abrir el archivo en el navegador por https. Debe verse como texto plano, no como página web.

Contact: mailto:seguridad@ejemplo.itvweb.es
Expires: 2027-11-06T00:00:00.000Z
Preferred-Languages: es, en

RFC 9116 · securitytxt.org (generador)