Gratis. Sin formularios. Sin email.
Son los instrumentos que usamos en proyectos con clientes, publicados abiertos — porque un negocio que puede diagnosticar su propia exposición es una mejor conversación que uno que no. Cada uno responde dos preguntas: qué está roto, y qué te daría realmente ser visible.
El documento de cumplimiento que también funciona como credencial de compras
La Ley 81 de 2019 es la ley de protección de datos personales de Panamá. La mayoría de los negocios la tratan como una casilla legal que marcar. Ese encuadre les cuesta contratos.
Aquí está la realidad de distribución: los compradores corporativos e institucionales corren revisiones de proveedores antes de correr negociaciones. Un oficial de compras en un banco, un hospital, un contratista del gobierno o la oficina en Panamá de una multinacional tiene una checklist. El manejo de datos está en ella. Si no puedes demostrar cumplimiento, no te rechazan — te filtran antes de que alguien lea tu propuesta.
Los negocios que documentan cumplimiento no solo evitan multas. Se quedan en shortlists de los que sus competidores nunca se enteran que fueron removidos.
El cumplimiento es una credencial de acceso al mercado. Trátalo como una.
Suma un punto por cada principio que puedas evidenciar por completo. El crédito parcial es cero crédito — un oficial de compras tampoco otorga crédito parcial.
Los datos personales están protegidos de accesos no autorizados.
Falla común: Un formulario de contacto que postea a un endpoint sin cifrar, o un chat widget que carga scripts de terceros con acceso irrestricto a los campos del formulario.
El movimiento de datos a terceros está divulgado y controlado.
Falla común: Correr Google Analytics, Meta Pixel y una integración de CRM sin divulgar ninguno. Tres transferencias sin divulgar en un sitio que cree que no recolecta nada.
Los datos se conservan responsablemente por un período definido.
Falla común: Seis años de envíos de formularios de contacto en una bandeja compartida a la que acceden cuatro empleados, sin política de retención ni ruta de eliminación.
Los datos son precisos y están protegidos de modificaciones no autorizadas.
Falla común: Validación solo del lado del cliente. El formulario luce protegido en un navegador y acepta cualquier cosa enviada directamente al endpoint.
Las medidas técnicas protegen los datos en proporción a su sensibilidad.
Falla común: Todos los encabezados ausentes. Este es el hallazgo más común de todos, y el más rápido de corregir.
Los usuarios pueden acceder y recuperar sus propios datos — derechos ARCO.
Falla común: Una política de privacidad que menciona los derechos ARCO sin proveer ningún mecanismo para ejercerlos.
| Puntaje | Lectura |
|---|---|
| 6 / 6 | Defendible. Puedes responder un cuestionario de seguridad de proveedores sin preparación. |
| 4–5 / 6 | Corregible en días. Las brechas suelen ser encabezados y documentación, no arquitectura. |
| 2–3 / 6 | Te están filtrando de procesos de compra y no recibes ninguna señal de que pasó. |
| 0–1 / 6 | Exposición estructural. Cualquier comprador que revise lo encontrará, y los compradores institucionales revisan. |
Una postura de cumplimiento documentada cambia lo que puedes perseguir:
La asimetría: esta es una inversión de infraestructura única que expande permanentemente tu mercado direccionable. La mayoría de los competidores en la mayoría de las verticales panameñas no lo han hecho, y el comprador no puede saber quién sí hasta que pregunta.
La revisión de proveedor que estás reprobando sin saberlo
Los encabezados de seguridad son instrucciones que tu servidor envía a los navegadores antes de que cargue una sola palabra de contenido. Son trivialmente verificables por cualquiera, desde cualquier lugar, en segundos, sin permiso.
Ese último punto es el que los negocios pasan por alto. Un prospecto, un competidor, un oficial de compras o un auditor puede calificar tu postura de seguridad sin preguntarte y sin avisarte.
La consecuencia de distribución: los compradores empresariales e institucionales cada vez más corren un escaneo automatizado como paso de precalificación. No les cuesta nada. Una calificación reprobatoria no produce una conversación sobre remediación — produce una remoción silenciosa de la lista de proveedores.
Nunca recibirás ese correo. Ese es todo el problema.
Escanea tu dominio en Mozilla Observatory (developer.mozilla.org/observatory). Anota tu calificación antes de seguir leyendo. La mayoría de los sitios de negocios panameños sacan F.
Si sacaste F, no hay nada mal con tu negocio. Tu servidor simplemente nunca fue configurado para decir nada — y el default es el silencio.
Strict-Transport-Security: max-age=31536000; includeSubDomains; preloadFuerza a los navegadores a usar HTTPS exclusivamente por un año, incluyendo subdominios.
Sin él: Un navegador intentará primero una conexión sin cifrar. En redes no confiables — wifi de hotel, aeropuerto, café — esa petición inicial es interceptable. Los ataques de degradación de sesión dependen de esa brecha.
Content-Security-Policy: default-src 'self'; script-src 'self'; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:; object-src 'none'; base-uri 'self'; form-action 'self'Declara qué fuentes pueden cargar scripts, estilos, imágenes y otros recursos.
Sin él: Cualquier script inyectado se ejecuta con acceso completo a la página — incluyendo acceso a los campos de tu formulario. Este es el encabezado que convierte una vulnerabilidad menor en una brecha de datos.
Note: Agrega tus dominios de terceros reales a las directivas relevantes. Analítica, procesadores de pago y proveedores de fuentes necesitan permiso explícito cada uno.
X-Frame-Options: DENYEvita que tu sitio sea embebido en un frame en otro dominio.
Sin él: Clickjacking. Tu sitio renderizado invisiblemente sobre la página de un atacante, para que los usuarios interactúen con tu interfaz creyendo que están en otro lado.
X-Content-Type-Options: nosniffImpide que los navegadores adivinen los tipos de archivo.
Sin él: Un archivo subido que el servidor etiqueta como imagen puede ser interpretado y ejecutado como un script.
Referrer-Policy: strict-origin-when-cross-originControla cuánta información de URL viaja con los enlaces salientes.
Sin él: Las URLs completas — incluyendo cualquier parámetro — se filtran a cada sitio externo que tus usuarios visitan desde el tuyo. Esto también es una exposición de Ley 81 si esas URLs cargan datos personales.
Permissions-Policy: camera=(), microphone=(), geolocation=(), payment=()Deshabilita las APIs de navegador que tu sitio no usa.
Sin él: Cualquier script en tu página puede solicitar acceso a cámara, micrófono o ubicación. Quita payment=() si usas un procesador de pago que requiere la Payment Request API.
Cloudflare Pages — crea un archivo llamado _headers en la raíz de tu sitio:
/*
Strict-Transport-Security: max-age=31536000; includeSubDomains; preload
X-Content-Type-Options: nosniff
X-Frame-Options: DENY
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=(), payment=()
Content-Security-Policy: default-src 'self'; script-src 'self'; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:; object-src 'none'; base-uri 'self'; form-action 'self'Otras plataformas usan mecanismos distintos — Netlify usa el mismo formato _headers, Apache usa .htaccess, nginx usa el bloque de servidor. Los valores de los encabezados son idénticos en todos los casos.
Verifica reescaneando. De F a A suele ser un solo despliegue.
La asimetría: esto cuesta una tarde y remueve permanentemente un descalificador silencioso. La mayoría de tus competidores están sacando F ahora mismo y no tienen idea, porque la falla en este canal es invisible desde adentro.
¿Puede una máquina decirle a un comprador qué haces?
Los compradores ya no solo buscan. Preguntan.
"¿Quién hace limpieza industrial en Panamá con certificación ISO?"
"¿Qué productoras en Panamá han trabajado con cadenas de EE. UU.?"
"¿Dónde encuentro una referencia de reloj específica en Latinoamérica?"
Un modelo de lenguaje que responde esas preguntas construye su respuesta a partir de fuentes que puede leer, clasificar y citar. Estar en la página uno es irrelevante si el modelo no puede determinar qué es tu negocio, dónde opera o para qué está certificado.
El cambio es estructural. La búsqueda premiaba a quien gastara más en anuncios. El descubrimiento mediado por IA premia a quien sea más legible para una máquina — y la legibilidad es una construcción única, no un gasto recurrente.
Esa es la asimetría, y es temporal. Se cierra a medida que los competidores lo notan.
¿Puede una máquina determinar qué es tu negocio?
Verifica: ver código fuente y buscar application/ld+json. Si no aparece nada, tienes cero datos de entidad estructurados. La Rich Results Test de Google validará lo que sí tengas.
Puntaje: 0 / 5
¿Puede una máquina verificar qué te califica?
La falla individual más común en cada vertical: certificaciones renderizadas exclusivamente como imágenes de logo en un pie de página. Para una máquina, eso es una imagen decorativa — tu diferenciador más fuerte, invisible.
Puntaje: 0 / 5
¿Puede una máquina determinar qué vendes realmente?
Verifica: pregúntale a un modelo de lenguaje directamente — "¿Qué servicios ofrece [tu negocio]?" Si la respuesta es vaga, equivocada, o "no tengo información sobre este negocio," tienes tu resultado.
Puntaje: 0 / 5
¿Puede una máquina extraer significado de tus páginas?
Verifica: un crawler gratuito (el plan gratis de Screaming Frog maneja 500 URLs) mostrará cada uno de estos en una sola pasada.
Puntaje: 0 / 5
¿Puede una máquina servir a la audiencia correcta la versión correcta?
La consecuencia de distribución: un comprador internacional buscando en inglés y un comprador local buscando en español están corriendo dos búsquedas distintas con dos vocabularios distintos. Un solo sitio intentando ambas sin separación estructural no sirve bien a ninguna.
Puntaje: 0 / 5
| Puntaje | Lectura |
|---|---|
| 21–25 | Legible para máquinas. Eres candidato a recomendación mediada por IA. |
| 15–20 | Parcialmente legible. Las máquinas saben que existes pero no pueden clasificar de forma confiable qué haces. |
| 8–14 | Estructuralmente ilegible. Estás ausente de los conjuntos de consideración en los que aparecen tus competidores. |
| 0–7 | Invisible. Credibilidad operativa sin contraparte legible por máquina. |
La ventana asimétrica: la mayoría de los negocios en la mayoría de las verticales panameñas sacan menos de 10. La brecha entre credibilidad operativa y legibilidad de máquina es la oportunidad más amplia y menos disputada del mercado ahora mismo — y se cierra en el momento en que los competidores notan que existe.
Córrelos los tres contra tu propio sitio antes de correrlos contra el de cualquier otro. Los resultados suelen ser incómodos y siempre accionables.
Nada aquí está restringido. Nada requiere un correo. Si son útiles, úsalos.
Si los hallazgos levantan preguntas sobre tu situación específica — esa es una conversación que vale la pena tener.