Una versión se acepta solo cuando su commit de origen, el manifiesto de compilación, las sumas de verificación, las migraciones y el comando de vuelta atrás coinciden.
El sitio público y la plataforma operativa se despliegan por separado, pero remiten a la misma revisión canónica del código.
La revisión exacta del código usada en la compilación.
Valores de integridad de los paquetes y la configuración desplegados.
La versión de base de datos que espera esta versión.
Un comando probado y el artefacto compatible anterior.
El despliegue es el momento en que nacen la mayoría de los incidentes. El nuestro es deliberadamente aburrido.
Cada versión se empaqueta como un archivo sellado con suma de verificación, se descomprime en su propia carpeta y se deja intacta. Publicar es apuntar un interruptor a la carpeta nueva: una única operación instantánea. La versión anterior se queda en disco tal como estaba.
Como la carpeta antigua nunca se modificó, deshacer una versión es apuntar el interruptor de vuelta. No hay ningún procedimiento de restauración que improvisar a las dos de la mañana, y el comando se escribe antes de publicar, no después de que algo se rompa.
La web que estás leyendo y la plataforma operativa se publican por separado, así que un cambio de texto nunca puede perturbar la protección y un arreglo de la plataforma no espera a ningún texto de marketing. Cada una guarda su propio historial de versiones.
Pruebas automáticas, comprobación de tipos, revisión de enlaces y estructura de cada página generada, y una auditoría de afirmaciones que hace fallar la compilación si una página pública contiene un identificador o un número de versión sin fuente verificada detrás.
Las entradas describen qué cambió para ti, no qué componente interno se tocó.
Si una versión cambia lo que puede hacer una capacidad, su estado cambia con ella en la página de estado: una capacidad nunca pasa en silencio a «disponible» sin una comprobación detrás. También puedes seguir las versiones en un lector de feeds.
Versiones destacadas de la plataforma, en orden cronológico inverso.RSS
Se leen fuentes públicas de reputación y cada dirección que ya tenemos tuya se contrasta con ellas. No se envía nada a tus servidores: se leen las listas y se resuelven los nombres que nos diste. El hallazgo que importa es el incómodo: tu propia dirección dentro de una red listada, que es como el correo empieza a rebotar y otras redes empiezan a descartar tu tráfico, normalmente sin que nadie te avise. Usamos Spamhaus DROP porque sus términos dicen con claridad que es gratuito para todos, y su atribución viaja en cada fila que almacenamos. Los nodos de salida Tor también se comunican, pero como contexto y no como culpa: operar uno no es un ataque, y un sistema que lo llamara así te enseñaría a ignorarlo. Una fuente conocida quedó fuera porque sus términos no dicen en ningún momento si el uso comercial está permitido, la misma prueba que otra fuente no superó a principios de año.
Dos capacidades estaban construidas y no llegaban a nadie: el fragmento de navegador y el conector de WordPress necesitaban ambos una dirección pública, y la única publicada estaba detrás de un proxy de acceso que responde 401 a todo el mundo. Ahora hay un nombre de host dedicado que lleva exactamente cuatro rutas —beacon, inventario, informes de malware, análisis público— y un 404 para todo lo demás, así que la superficie es una lista que alguien puede leer, no una regla de proxy en la que alguien tiene que confiar. El agente de malware dejó de necesitar su mensajero y envía directamente. La integridad de la página de pago pasa de no disponible a disponible por eso, no por una promesa.
Para los sitios alojados en nuestra propia infraestructura, un agente junto al escáner lee a diario el contenido web y comunica conclusiones —una ruta, el nombre de una firma, un hash—, nunca los archivos en sí. Detectó un archivo de prueba plantado entre 9.415 archivos en unos setenta segundos. Un web shell es crítico, un instalador empaquetado es una molestia y la firma de prueba no es ninguna de las dos cosas: informar de todo igual enseñaría al operador a ignorar el panel. Añade 38.927 firmas gratuitas de terceros, porque el escáner base es fuerte con los binarios y flojo con los shells PHP que aparecen de verdad en el alojamiento compartido.
Un skimmer de tarjetas nunca toca el servidor: llega como un script más en la página de pago y lee el número del formulario antes de que lo vea tu propio código. Así el origen queda intacto y un hash de contenido no ve nada. Esto vigila desde el único sitio donde el skimmer existe —el navegador del visitante— y comunica estructura, nunca contenido: qué hosts de script se cargan, si se ha reemplazado una función nativa del navegador, cuántos campos están donde nadie los ve. El primer informe es una línea base silenciosa. Una función reemplazada es algo que explicar, no una prueba de nada: así funciona también cualquier herramienta de session replay.
Los registros de certificados ya nos hablan de los nombres para los que alguien pidió un certificado. Esto encuentra el resto, leyendo índices públicos y preguntando a los resolvedores DNS: no se envía nada a tus servidores. El hallazgo que importa es un registro que apunta a un servicio que ya no existe: tu subdominio está sin reclamar en el proveedor, y quien lo registre allí sirve contenido desde una dirección que sigue llevando tu nombre. Solo se comunica cuando dos barridos consecutivos coinciden, para que un resolvedor con un mal minuto no se convierta en una acusación. Cartografiar nuestra propia infraestructura sacó 29 nombres, incluido un host que no teníamos anotado en ninguna parte.
Genera un informe para un periodo y dará un veredicto por cada medida del Artículo 21, citando los registros exactos que lo respaldan —entradas de auditoría, paquetes firmados, comprobantes de simulacros, tiempos de los casos— y llevará un hash de contenido para que el lector sepa que no ha sido alterado. Una medida sin pruebas recientes se informa como Desconocida, nunca como aprobada. Tres de las diez medidas son organizativas y el documento dice con claridad que no las observamos: formación, seguridad de recursos humanos y comunicaciones de emergencia seguras.
Cada acción auditada muestra ahora quién la hizo y cómo estaba la configuración antes y después; los registros siempre lo guardaron y la pantalla nunca lo mostró. Los trabajos periódicos salieron del bucle compartido, así que un escaneo lento ya no retrasa nada más, y los trabajos de fondo fallidos ahora se espacian y acaban en dead-letter en lugar de reintentar sin fin. Se retiró el feed de Wordfence: no está licenciado para el uso comercial que pretendemos. Los avisos de WordPress vienen ahora de los datos CPE públicos del NVD, que son más escasos y más lentos, y lo decimos.
Un fragmento corto, pegado en la página como se pegaría una etiqueta de analítica, informa de violaciones de content-security-policy y errores de JavaScript no capturados desde los navegadores de visitantes reales. La clave es pública y no lleva ningún secreto; solo se almacenan agregados, nunca un visitante.
Tú indicas la URL y qué demuestra que está sana: un código de estado, una marca en la página. Cada cinco minutos la comprobamos desde fuera, y un fallo abre un caso en vez de esperar a que lo note un cliente.
Generamos los nombres que un estafador registraría contra el tuyo: una letra caída, una terminación cambiada, un cero por una o, y comprobamos cuáles resuelven de verdad. En la cartera actual eso sacó a la luz 45 parecidos ya registrados.
Se leen los registros públicos de Certificate Transparency para cada dominio monitorizado. Lo que existe cuando empezamos a vigilar se registra en silencio como referencia; un certificado que aparece después abre un caso, porque ese es el momento de preguntar si lo emitiste tú.
TLS, cabeceras de seguridad, flags de cookies, exposición de versiones, SPF, DKIM, DMARC, MTA-STS, TLS-RPT y CAA se comprueban desde fuera del perímetro y se resumen en una nota de la A a la F. No se instala nada ni se redirige tráfico; un dominio puede monitorizarse solo así.
Los casos se pueden tomar, anotar, cerrar, reabrir y posponer, con la cola de operador filtrada y paginada. Correo de notificación con doble confirmación y resumen periódico. Ajustes de cuenta, equipo y plan en páginas propias en vez de un formulario largo. Preajustes de autonomía con excepciones.
La guía de activación, el simulacro en la dirección de recuperación y la prueba del origen privado llegaron al plano de control. La aplicación sigue condicionada por ventanas de estabilidad y evidencia de vuelta atrás.
Los agregados de tráfico por minuto, la atribución de la observación y los estados verificados alimentan ahora el panel operativo sin entrar en la ruta de la petición.
El panel de cliente pasó a cargar datos por ruta, estados desconocidos explícitos y una estructura persistente para operaciones de cartera y por dominio.
Se probaron de extremo a extremo la repetición de políticas, las rutas de respaldo del edge y los controles de frescura, incluido un simulacro de caída del origen.
El acceso pasó al flujo de identidad autoalojado de AegiFlow: sesiones OIDC, passkeys, TOTP y verificación reforzada antes de acciones sensibles, con alta en rumano.
La web pública pasó a una única fuente Astro bilingüe con versiones inmutables, sumas de verificación y una vuelta atrás probada.