Seguridad de SIN-AUTO, auditada: qué protege hoy sus datos y qué le debemos todavía
Esta entrega de nuestra serie es distinta: en lugar de describir una política, probamos nuestras propias páginas públicas el 14 de octubre de 2026 y publicamos el resultado, incluido lo que aún no está en marcha.
Qué usa realmente su conexión
Todos los hosts públicos probados se sirven por HTTPS con TLS 1.3 y cifrado AES-256-GCM: el tráfico va cifrado en tránsito con un protocolo actual. El sitio envía una cabecera Strict-Transport-Security de un año, que pide al navegador rechazar conexiones sin cifrar. Las peticiones pasan por Cloudflare, que sitúa un CDN y un cortafuegos de aplicaciones delante de nuestros servidores.
Qué no recogen nuestras páginas
La portada, el índice del blog y nuestro sitemap no devolvieron ninguna cabecera Set-Cookie. La auditoría de septiembre mostró lo mismo en el lado del cliente: ningún píxel publicitario, ningún SDK de analítica de terceros; los únicos scripts de terceros son los de Cloudflare (ofuscación de correo y baliza de analítica sin cookies). Las preferencias funcionales se quedan en su navegador.
Dónde están las carencias, dichas por nosotros
Faltan cinco cabeceras y preferimos publicarlas:
- Sin Content-Security-Policy: la mejor defensa frente a la inyección de scripts aún no está definida.
- Sin protección de encuadre: sin X-Frame-Options ni frame-ancestors, nuestras páginas podrían incrustarse en otro sitio.
- Sin cabecera nosniff: no se indica explícitamente al navegador que respete nuestros tipos de contenido.
- Sin Referrer-Policy: la dirección de origen puede transmitirse a los enlaces de contacto salientes.
- Sin Permissions-Policy: cámara y micrófono no quedan explícitamente restringidos.
Ninguna de estas carencias es una brecha ni expone hoy una consulta a terceros: son medidas de refuerzo, y las añadiremos en el CDN.
Qué no guardamos
- Ningún dato de tarjeta: el sitio es un catálogo y un canal de consulta, no una caja de pago.
- Ningún perfil de comportamiento: no creamos perfiles entre sitios ni vendemos datos personales.
- Ningún campo de consulta innecesario: pedimos lo que exige una cotización.
Cómo plantear una duda o un problema
- Pida lo que tenemos: indique el correo utilizado y le responderemos.
- Pida la supresión: eliminamos los datos salvo obligación legal de conservación, y se lo diremos.
- Comunique una vulnerabilidad: escríbanos antes de publicarla; investigamos de buena fe.
Antes de firmar su primer pedido, pídanos la versión vigente de esta auditoría. Preferimos entregarle nosotros la lista de carencias.
