Actualizado: 3 de octubre de 2026
Seguridad: las pruebas
Decir «es seguro» es fácil. Acá están los resultados de escáneres independientes que cualquiera puede repetir, qué protege el sistema de clientes y cómo lo verificamos.
Resultados de escáneres independientes
Verificamos este sitio con tres escáneres públicos el 3 de octubre de 2026. Tocá cada enlace para repetir la prueba ahora mismo: el resultado lo da el escáner, no nosotros.
- A+Mozilla HTTP Observatory130/100 · 12 de 12 pruebas superadasVerificar en Mozilla →
- A+SecurityHeaders.comEncabezados de seguridadVerificar en SecurityHeaders →
- A+Qualys SSL LabsConfiguración de HTTPSVerificar en SSL Labs →
Préstamos Clover y Spanish with Emi, dos sitios que hicimos con el mismo sistema, obtuvieron las mismas notas el mismo día.
¿Y tu sitio? Chequealo gratis con Mozilla HTTP Observatory →
Qué protege el sistema de clientes
El OWASP Top 10 es la lista de los riesgos más comunes en aplicaciones web. Así cubre cada uno el sistema que instalamos (panel, Área de clientes y formularios):
Control de acceso
Cada acción se autoriza en el servidor según los permisos de la persona; cada cliente ve solo sus propios datos (con pruebas automáticas que intentan leer datos de otro cliente); las sesiones se pueden cerrar desde el servidor.
Criptografía
HTTPS obligatorio con HSTS; contraseñas guardadas como hash con Argon2id o bcrypt; la clave de la verificación en dos pasos se guarda cifrada; los códigos de activación se guardan como hash.
Inyección (SQL y XSS)
Todas las consultas a la base usan sentencias preparadas; todo lo que se muestra se escapa; una política de seguridad de contenido (CSP) con nonce o hash solo deja correr los scripts propios, sin scripts en línea inyectados ni atributos onclick.
Diseño seguro
Tokens CSRF en cada formulario y control del origen (Origin y Sec-Fetch-Site); códigos de un solo uso que vencen; para lo delicado se vuelve a pedir la contraseña (borrar clientes, descargar respaldos) y, para administrar usuarios, también el código de dos pasos.
Configuración
Solo se pueden ejecutar los archivos permitidos; los datos viven fuera de la carpeta pública del sitio; encabezados de seguridad completos; los errores nunca se muestran al visitante; el armado del sitio se frena si encuentra algo inseguro.
Componentes
Sin frameworks ni plugins de terceros en el servidor; las dos librerías que usa el panel (gráficos y código QR) se cargan con verificación de integridad (SRI).
Identificación y autenticación
Verificación en dos pasos obligatoria para el equipo; límites de intentos de ingreso por IP y por cuenta; la misma respuesta exista o no el usuario; cookies __Host- seguras, sesiones en modo estricto que vencen a los 30 minutos sin uso o a las 12 horas.
Integridad de datos y archivos
Los archivos subidos se validan por su contenido real, se guardan con nombre al azar fuera de la web y se entregan sin poder ejecutarse; las propuestas de diseño se abren aisladas (sandbox), sin acceso a la sesión del Área de clientes.
Registro y monitoreo
Registro de seguridad de ingresos, intentos fallidos, accesos denegados y cambios; avisos en el panel si falta un respaldo o un administrador no activó los dos pasos.
Pedidos desde el servidor (SSRF)
El sistema nunca descarga direcciones que manda un usuario.
Además: copias de seguridad automáticas cada día en que se usa el panel, estadísticas propias sin cookies y sin guardar IPs, y un archivo security.txt para reportar problemas.
Cómo lo verificamos
- Más de 400 pruebas automáticas en cada cambio: intentos de ataque (inyección, XSS, CSRF, robo de sesión, acceso a datos de otro cliente, archivos maliciosos, fuerza bruta) y el sitio armado servido con su configuración real.
- Dos revisiones de seguridad independientes antes de publicar, hechas por revisores que intentaron romper el sistema.
- Controles en vivo después de cada publicación: HTTPS, encabezados, archivos que nunca deben verse y el panel.
Ningún sistema es invulnerable: por eso medimos, revisamos y publicamos los resultados para que puedas comprobarlos.
¿Encontraste un problema?
Si encontrás una falla de seguridad, avisanos de forma responsable antes de publicarla: los datos de contacto están en /.well-known/security.txt, o escribinos a info@paginasclover.com. Te respondemos y lo arreglamos lo antes posible.
Lo que el sistema guarda y por cuánto tiempo está en la Política de privacidad.