Seguridad
Qué se aplica de verdad, y qué no se afirma.
Atarla sostiene que la autoridad sobre la información de un negocio debe ser explícita y verificable. Ese argumento no vale nada si este sitio no se lo aplica a sí mismo. Todo lo de la primera tabla está activo ahora y puede verificarse desde fuera con una sola solicitud. Todo lo de la segunda está ausente, y se enumera para que esa ausencia nunca se confunda con silencio.
Aplicado hoy.
- Política de seguridad de contenido
- default-src 'self'. No se permite ningún origen externo de script, estilo, fuente, imagen o conexión, así que una etiqueta inyectada no tiene a dónde enviar datos.
- Transporte
- Solo HTTPS, con HSTS e includeSubDomains. HTTP se actualiza antes de salir del navegador.
- Incrustación
- frame-ancestors 'none'. El sitio no puede incrustarse, así que el clickjacking no tiene superficie.
- Tipo de contenido
- X-Content-Type-Options: nosniff en cada respuesta.
- Referencias
- strict-origin-when-cross-origin, así que nunca se entrega una URL completa a otro sitio.
- Acceso al dispositivo
- Permissions-Policy niega cámara, ubicación, pagos y USB por completo.
- Cookies
- Ninguna. El sitio no establece ninguna cookie, así que no hay sesión que robar ni aviso de consentimiento que necesitar.
- Almacenamiento de formularios
- Los envíos van a una base de datos privada de Cloudflare D1 sin punto de lectura público.
- Límites de abuso
- Los formularios y la guía del sitio tienen límite de uso. La IP del visitante pasa por un hash de una sola vía y solo ese valor se usa como clave; la dirección no se almacena.
- Salida de la guía
- La guía responde primero con reglas fijas. Cuando se usa un modelo, su respuesta se valida en el propio código de Atarla antes de mostrarse y se rechaza si contiene un enlace, un esquema, un dominio o marcado, porque una URL en ese texto solo podría ser un destino inyectado.
No se afirma.
- No existe ninguna certificación ni acreditación de seguridad de terceros de ningún tipo, bajo ningún marco. No se afirma ninguna, y ningún texto de este sitio debe leerse como si la implicara. Si necesita un marco con nombre para una lista de compras, la respuesta honesta hoy es que Atarla no tiene ninguno.
- No se ha realizado ninguna prueba de penetración ni auditoría de seguridad por terceros.
- No hay hardware de producción, así que no se afirma nada sobre cadena de suministro, arranque seguro ni resistencia física a manipulación.
- La capa de política determinista descrita en el documento técnico es un diseño en pruebas, no un control ya entregado.
Reportar una vulnerabilidad.
Reporte cualquier cosa que encuentre, incluidos problemas en este mismo sitio. Recibirá una respuesta humana. Por favor dé a Atarla un plazo razonable para corregir antes de publicar, y no acceda, modifique ni conserve datos de otras personas durante sus pruebas.
Una copia legible por máquina de este contacto está publicada en /.well-known/security.txt.