Un proveedor de seguridad que pide acceso a tu web debería poder enseñar cómo se protege a sí mismo. Así operamos, en lenguaje llano, incluidas las partes sin terminar.
Un estado aparece verificado solo mientras su evidencia sea reciente. Si una comprobación no se ha ejecutado hace poco, la interfaz dice Desconocido en vez de quedarse verde.
Cada capacidad tiene una responsabilidad estrecha, un estado operativo y evidencia que explica el resultado.
Generas un informe para un periodo y da un veredicto para cada medida del Artículo 21, citando los registros exactos que lo sostienen y llevando un hash de contenido para que quien lo lea vea que no ha sido alterado. Una medida sin pruebas recientes aparece como Desconocido, nunca como superada. Tres de las diez son organizativas y el documento dice con claridad que no las observamos.
Para los sitios alojados en nuestra infraestructura, un agente junto al escáner lee a diario el contenido web y comunica lo que ha encontrado, nunca los archivos en sí. Un web shell se comunica como crítico, un instalador empaquetado como una molestia, y un análisis que no llegó a terminar no resuelve nada. Los sitios alojados en otra parte necesitan un agente en ese servidor.
Un skimmer de tarjetas nunca toca el servidor: llega como un script más en la página de pago y lee el número del formulario antes de que lo vea tu propio código. Por eso esto vigila desde el único sitio donde existe: el navegador del visitante. Pegas un fragmento en tu página; comunica estructura y nunca contenido, y solo en las páginas que llevan un campo de contraseña o de pago. El primer informe es una línea base silenciosa, porque un script que siempre has cargado no es novedad.
Passkeys y códigos de un solo uso, sesiones que viven en nuestro servidor y no en tu navegador, y una segunda comprobación antes de nada sensible.
Cada despliegue registra su fuente, sus sumas de verificación y el comando exacto para volver, y la vuelta se ensaya.
La separación entre clientes la impone la propia base de datos. El contenido de las peticiones, las direcciones y los datos personales no se recogen para analizar.
La ruta del visitante sigue siendo corta. La configuración, la verificación y la vuelta atrás quedan visibles para el operador en cada etapa.
El contacto de seguridad y el canal de aviso están publicados, no escondidos tras un formulario.
Cada capacidad muestra qué está disponible, qué solo se observa y qué aún no está construido.
Si un estado está verde sin evidencia reciente, es un fallo: dínoslo.
AegiFlow no convierte la falta de evidencia en un cero tranquilizador. Cada estado enlaza con su fuente, su frescura y el siguiente paso.
Cómo se comporta esta capacidad en producción, basado en el funcionamiento actual y documentado de la plataforma.
Identidad autoalojada con passkeys y verificación reforzada, sesiones opacas en servidor, versiones inmutables con sumas de verificación y vueltas atrás ensayadas, copias cifradas fuera de sede con simulacros mensuales de restauración, y un security.txt público con canal real de aviso. El Trust Center muestra los estados con la misma honestidad que el panel muestra a los clientes.
La propiedad, el certificado, la salud del origen y la vuelta atrás deben pasar antes de que cambie la protección del tráfico.