Auditoría completa del sitio
Una auditoría repetible de los sitios web y aplicaciones de un negocio: seguridad, calidad del sitio, precios y pagos, términos, privacidad, accesibilidad y otras leyes. Encuentra problemas, corrige los seguros en un solo cambio revisable, y entrega al propietario un mensaje único con todo lo que debe hacer por su cuenta.
Esto es una lista de verificación, no un asesoramiento legal. Indícalo en el informe. Un abogado debe revisar los términos, el aviso de privacidad y cualquier elemento marcado como Necesita un abogado.
Paso 1: Averiguar qué existe
Antes de verificar cualquier cosa, construye una imagen del negocio a partir del código, la configuración, la documentación y cualquier nota del proyecto que puedas leer. Registra cada respuesta con dónde la encontraste:
- Cada sitio web, subdominio y aplicación en el alcance, y cada página o pantalla (incluyendo inicio de sesión, pago, error y páginas 404).
- Quién es el negocio: nombre, forma legal, país, datos de contacto, tal como se muestran en el sitio.
- Cada servicio externo que utiliza el producto: alojamiento y CDN, base de datos y almacenamiento de archivos, envío y recepción de correo electrónico, inicio de sesión o identidad, proveedor de pagos, formularios de contacto, analíticas, seguimiento de errores, fuentes, mapas, IA u otras API. Busca en el código, archivos de configuración, nombres de variables de entorno, pistas de DNS, encabezados CSP y archivos de paquetes.
- Qué datos personales se recopilan, dónde se almacenan y por cuánto tiempo.
- Qué se vende, a qué precio, en qué moneda, cómo funciona la facturación (única, suscripción, renovación automática, prueba gratuita) y dónde se muestran los precios.
- A qué países vende o comercializa el negocio (moneda, idioma, configuración de impuestos, métodos de pago, redacción en el sitio).
- Páginas legales existentes (términos, privacidad, cookies, accesibilidad, reembolsos) y reglas de seguridad o acceso existentes (README, SECURITY.md, guía de contribución, archivo de instrucciones del asistente de IA, matriz de roles).
Cualquier cosa que no puedas encontrar va a la lista de preguntas al final. No lo adivines.
Cómo trabajar
- Trabaja con las herramientas que tienes. Si no puedes leer el código, ejecutar comandos, abrir un navegador, navegar por la web o editar archivos, indica qué comprobaciones limita eso al inicio del informe. Verifica lo que puedas a partir de lo que el propietario pegue o suba, y dales pasos exactos para recopilar el resto. Marca cualquier cosa que no hayas podido verificar como No verificado con el motivo, nunca como Aprobado.
- Verifica cada afirmación. Cada resultado necesita evidencia: un
archivo:línea, un comando y su salida, una captura de pantalla o una URL de origen con la fecha en que lo verificaste. Nunca escribas "cumplió" sin evidencia. - Comprueba que la ley esté actualizada. Las leyes, los umbrales y las decisiones judiciales cambian. Para cada ley en la lista de verificación, confirma en sitios oficiales del gobierno o reguladores que aún esté vigente y qué exige ahora. Registra la fuente y la fecha. Si la lista de verificación está desactualizada, sigue la ley actual y anota la diferencia.
- Pruébalo en ejecución. Ejecuta el sitio y las aplicaciones localmente o en una vista previa y pruébalos en un navegador real a 320 px y 1280 px de ancho. Usa solo datos de muestra falsos. Nunca hagas pagos en vivo, cambies configuraciones de producción o toques secretos reales; usa el modo de prueba del proveedor de pagos o un simulacro.
- Corrige lo que sea seguro en un solo cambio revisable (un pull request borrador o una lista de ediciones exactas), siguiendo las convenciones del proyecto. No cambies el significado legal de los términos o un aviso de privacidad tú mismo: redacta el texto y ponlo en lista para que el propietario y su abogado lo aprueben.
- Etiqueta cuándo se aplica cada regla: Se aplica ahora (país de origen y cualquier cosa ya en producción), Al vender en EE.UU., Al vender en Australia, Al vender en Sudáfrica, Al vender en la UE o Reino Unido, o Solo por encima de un umbral de tamaño (indica cuál). Las reglas de un país se aplican una vez que el negocio comercializa, recibe pagos o almacena datos de personas allí. Si el país de origen no es uno de estos, verifica los equivalentes de ese país (privacidad, protección al consumidor, divulgaciones de comercio electrónico, accesibilidad, spam, impuestos).
Paso 2: Recorrer la lista de verificación
Lee references/checklist.md y recorre cada sección:
- Seguridad (control de acceso, secretos, entrada y salida, encabezados, inicio de sesión, puntos finales públicos, pagos, cargas, correo electrónico, dependencias, datos almacenados, cuentas de administrador, plan de violación)
- Calidad del sitio (pies de página, enlaces, metadatos, cookies, dispositivos y teclado, formularios, datos del negocio, mensajes de error)
- Precios y pagos (lo que debe mostrarse antes de pagar, cancelación, reglas del país)
- Términos y condiciones
- Privacidad (comparar el aviso con lo que realmente hace el código)
- Accesibilidad (WCAG 2.2 AA, página de declaración)
- Otras leyes a confirmar
No omitas una sección porque ya se haya verificado antes: las cosas cambian.
Paso 3: Entregar
- Un archivo de informe fechado con una tabla por sección: elemento, etiqueta, resultado (Aprobado, Corregido, Necesita al propietario, Necesita un abogado, No aplica aún, No verificado), evidencia y la corrección o el siguiente paso exacto. Incluye la fuente y la fecha de cada ley que confirmaste.
- Las correcciones seguras como un solo cambio revisable.
- Texto propuesto para cualquier cambio en términos, privacidad o accesibilidad, mantenido separado para que el propietario y su abogado lo aprueben.
- Un mensaje para el propietario que:
- comience con cada acción que deben tomar ellos mismos, en una lista (agregar datos faltantes del negocio, registrarse ante un regulador, activar 2FA, agregar registros DNS, confirmar precios, reservar una revisión con abogado);
- luego proporcione las preguntas que no pudiste responder a partir del código, cada una respondible en una palabra o una línea corta, con tu mejor estimación si la tienes. Pregunta al menos estas cuando no se encontró la respuesta: nombre legal completo del negocio y forma legal; número de registro (o ninguno); dirección física y postal; correo electrónico y teléfono de contacto para clientes, privacidad y accesibilidad; países a los que venden ahora y planean vender; banda aproximada de facturación anual y número de clientes (para umbrales de tamaño); registros de IVA, GST o impuestos sobre las ventas; proveedor de pagos y si acepta tarjetas extranjeras; precios, períodos de facturación, pruebas y política de reembolsos; servicios en uso que no sean visibles en el código; si los niños podrían usar el producto; si se manejan datos sensibles de salud, financieros u otros; quién maneja los incidentes de seguridad; si la 2FA está activada para cada cuenta de administrador;
- termine con un breve resumen de lo que se corrigió y lo que aún está abierto, y diga claramente que el informe no es asesoramiento legal.
- Una vez que el propietario responda, actualiza el informe, los borradores legales y las correcciones, y guarda los hechos confirmados donde el proyecto mantenga notas, para que la próxima verificación comience desde ellos.
Uso sin una herramienta compatible con habilidades
Cualquier asistente de IA puede ejecutar esta verificación. Pega este archivo, luego el archivo de la lista de verificación, en el chat y pídele que comience con el Paso 1.