Método · la frontera
Lo que no medimos y por qué
Por método, lo que no se hace nunca; por precisión, lo que no llega al listón; por fuente, lo que no se pudo ver; por decisión, lo que se deja fuera a sabiendas. Solo el estado vigente.
51
reglas retiradas
no se usan: no pasaron la lectura a ciegas · base de datos del 10 de noviembre de 2026
§ 1Por método: lo que no se hace nunca
Cada línea está escrita en el método y en el código del museo; aquí van resumidas, sin cifras.
- No pedimos rutas que el sitio no enlaza.
Salvo seis publicadas para esto (robots.txt, los sitemaps, security.txt y la portada por http). Una ruta inventada es sondear, y eso ya no es lo que hace cualquier ciudadano.
- No probamos credenciales ni mantenemos sesiones.
Lo que hay tras un acceso no se mira. La cookie que el sitio nos pone se le devuelve durante la visita y no se guarda.
- No enviamos formularios ni nada que escriba.
Solo peticiones de lectura. De un formulario se lee lo que su código declara: adónde manda, cómo y qué campos.
- No ejecutamos el JavaScript del sitio.
Se lee lo que llega al navegador; lo que un programa monta después no siempre se ve, y se dice como límite. Solo el contraste y el foco se miden pintando la copia guardada sin red.
- No bajamos documentos.
Ni PDF, ni ofimática, ni vídeo, ni ejecutables: se anota que se enlazan. Un fichero puede llevar datos personales reservados, y pesa.
- No escaneamos puertos ni probamos cifrados.
Ni versiones de TLS que el servidor aceptaría, ni plantillas de vulnerabilidades, ni orígenes inventados. Solo se guarda lo que el servidor negoció una vez con nuestro cliente.
- No conectamos a servicios que no son web.
Nada fuera de HTTP y del DNS público: ni el correo (SMTP), ni FTP, ni SSH.
- No escondemos el origen.
Programa identificado, una sola dirección fija por origen, origen declarado en cada captura. Un 403 se respeta: ninguna petición más.
- No insistimos.
Un 401, 403, 429 o 503 en la portada para la visita; un segundo por petición; el retardo que pida robots.txt, hasta treinta segundos.
- No afirmamos que un fallo se pueda aprovechar.
Se describe lo que el código hace, nunca lo que se teme. Una librería con fallos publicados es «medio», porque mirando la versión no se ve si la página la usa de forma aprovechable.
- No publicamos el plano de dentro.
Direcciones internas, nombres de máquinas, rutas de disco, esquemas: la base guarda el fichero, la huella y la línea, nunca el valor. Se publica el hecho de que algo sale a la calle, no el camino. La versión que un servidor enseña a cualquiera («PHP/7.4.33») no es plano de dentro: se publica tal cual en la ficha de cada organismo (decisión del 12 de noviembre).
- No decimos «incumple» ni «no tiene».
Una regla legal dice «no consta en N páginas capturadas»; un DNS que no contesta es «no medido». Una fila no es un dictamen.
- No publicamos nombres de personas.
El archivo guarda las páginas enteras; lo publicado y la base, no. Un nombre de usuario en una ruta pasa a «[usuario]».
- No decimos «pagado con dinero público».
Es más de lo que se puede probar. Lo defendible es «servido bajo un dominio de la Administración», con la vía de titularidad escrita.
- No hacemos rankings.
Ni de organismos, ni de comunidades, ni de proveedores. Se ordenan piezas y obligaciones; comparar organismos es cosa de cada uno dentro de su ámbito.
- No reconstruimos un síntoma en varios dominios.
El caso concreto nunca se comparte; lo compartido es la explicación de la tecnología.
- No inferimos una empresa de un nombre parecido.
El proveedor sale de una tabla escrita a mano, con patrón y fuente; lo que no está se queda con su nombre y se cuenta.
- No dejamos que el modelo decida solo.
El modelo contesta hechos sobre una afirmación concreta; la severidad la pone una regla escrita; un alto exige dos lecturas, la segunda a ciegas; nada suyo se publica sin una lectura que pase el listón.
§ 2Por precisión: lo que no llega al listón
Leídas a ciegas por un lector nuevo, con el listón fijado y escrito antes de leer: 27 de 30, o el 90 % de lo decidido si hay menos de 30; más de un tercio sin decidir tampoco pasa. El código que las mide se queda: una regla solo vuelve con un arreglo y una muestra nueva, leída igual.
| Qué | Cuántas | Qué quiere decir |
|---|---|---|
| Reglas retiradas | 51 | no llegaron al listón de la lectura a ciegas, fijado antes de leer; en la web solo hay una cifra, nunca la lista |
| Reglas en prueba | 7 | con su clase decidida y sin pasar aún su lectura a ciegas: no escriben filas nuevas |
| Reglas en uso sin lectura a ciegas | 5 | con 1.041 filas en la base que aún no tienen lectura: dan el recuento, no se ponen junto a un nombre |
| Reglas en uso con muestra pequeña | 64 | menos de 10 filas decididas: recuento sin porcentaje, y no se ponen junto a un nombre |
| Filas de un modelo que esperan lectura | 426 | de 13 reglas: lo que leyó un modelo y no entra en la base hasta que su regla pase una lectura a ciegas |
| Reglas en uso que sí se publican junto a un nombre | 41 | de 118 en uso: lectura suficiente, en el listón del 90 % o por encima y fuera de la raya de seguridad |
base de datos del 10 de noviembre de 2026 · solo el estado vigente: las reglas retiradas son una cifra, y el historial de cada regla no se publica
§ 3Por fuente: lo que no se pudo ver
1.693 de los 11.058 dominios del archivo no nos contestaron en su último intento, desde nuestro servidor en Alemania o desde una conexión en España: ni una página, ni cabeceras. No contestar a una máquina no es estar caído. Lo que no contestó es cobertura que falta, no un hallazgo: sale como «no medido».
| Por qué no contestó | Dominios | De los que no contestaron |
|---|---|---|
| no contesta a tiempo | 1.107 | 65 % |
| TLS o certificado: el navegador no llega a ver la página | 430 | 25 % |
| rechaza o cierra la conexión | 89 | 5 % |
| sin DNS: el nombre no resolvía a ninguna dirección | 61 | 4 % |
| el nombre falló al resolver durante la petición | 6 | 0 % |
Los topes y el origen de cada captura
Cada captura guarda hasta un tope de páginas por web, desde un origen declarado. Lo que queda fuera del tope no se juzga, y una ausencia «en N páginas capturadas» puede estar en una página que no se capturó: las reglas que juzgan un conjunto lo dicen cuando la web está cortada.
| Captura | Desde | Tope de páginas por sitio | robots.txt | Capturador | Dominios con sus datos |
|---|---|---|---|---|---|
| 31 ago – 11 sep 2026 | servidor en Alemania | 800 o 1.200 o 3.000 o 6.000 | obedecido | 3.0 o anterior | 37 |
| 23 sep – 26 sep 2026 | servidor en Alemania | 1.000 | obedecido | 3.0 o anterior | 100 |
| 12 oct – 22 oct 2026 | servidor en Alemania | 1.000 o 5.000 | obedecido | 3.0 o anterior | 1.161 |
| 26 oct 2026 | servidor en Alemania | 200 | obedecido | 3.0 o anterior | 248 |
| 3 nov 2026 | servidor en Alemania | 200 | no obedecido | 3.0 o anterior | 7 |
| 2 nov – 4 nov 2026 | conexión en España | 50 o 200 | obedecido en 27 de 1.957 intentos | 3.0 o anterior | 1.370 |
| 26 oct – 4 nov 2026 | servidor en Alemania | 200 | obedecido en 5.346 de 7.546 intentos | 3.0 o anterior | 5.494 |
| 3 nov – 4 nov 2026 | servidor en Alemania | 200 | obedecido en 14 de 333 intentos | 3.0 o anterior | 84 |
una fila por captura: cuándo, desde dónde, hasta cuántas páginas por sitio, qué hizo con robots.txt y de cuántos dominios salen sus datos
§ 4Por decisión
- El navegador.
Pintar cada página en un navegador, como la ve una persona, es la decisión que más cambiaría el catálogo y la toma el propietario; si se toma, irá como otro perfil, documentado aparte. Hoy solo se pinta la copia guardada, sin red, para el contraste y el foco.
- Los documentos.
Una muestra de PDF, solo para leer si está etiquetado, es una decisión pendiente. Hasta entonces, la transparencia, los impresos y la accesibilidad de documentos quedan fuera.
- robots.txt.
Desde el 2 de noviembre de 2026 no se obedece: lo que es público, es público. Se guarda, se anota en cada entrada qué excluía, y las capturas anteriores lo obedecían con un lector que no entendía sus comodines.
- Lo que hay tras un certificado o tras Cl@ve.
Nunca. En pasivo cabe solo lo que la sede declara antes del acceso: qué sistemas enlaza, qué dice ofrecer.
- Las aplicaciones móviles.
Una app vive en una tienda ajena. Lo único pasivo es contar qué webs enlazan una app, y eso no es auditarla.
- Las redes sociales.
Se mide lo que la web carga de ellas, no la cuenta del organismo: leer una cuenta es capturar una plataforma privada con sus condiciones.
- El correo por dentro.
DKIM no se puede ver sin recibir un correo; comprobar que el servidor de correo cifra (STARTTLS) es otra conexión, y queda como decisión.
- Entre capturas.
Una foto por captura: un certificado que caduca y se renueva entre dos no se ve. Las comprobaciones del DNS llevan su propia fecha.
- Lo que el filtro cortó.
Las reglas de documentos de identidad publicados y de nombres de DNS que apuntan a nada se cortaron por el riesgo que crean, y no se les busca la vuelta.
La raya de seguridad
23 reglas en uso dan su dato solo en agregado: organismo a organismo serían un plano para atacar. Cada una con su motivo, que es el que enseña el mapa de conexiones.
Las 23 reglas en la raya, con su motivo
- coherencia.dmarc-desigual
por organismo diría lo que las reglas del correo solo dan en agregado
- correo.dmarc-sin-informes
quién no pide rechazar el correo falso, por organismo, es un plano; la familia va agregada
- correo.mta-sts
quién no pide rechazar el correo falso, por organismo, es un plano; la familia va agregada
- correo.spf-roto
quién no pide rechazar el correo falso, por organismo, es un plano; la familia va agregada
- correo.suplantable
quién no pide rechazar el correo falso, por organismo, es un plano; la familia va agregada
- correo.tls-rpt
quién no pide rechazar el correo falso, por organismo, es un plano; la familia va agregada
- dns.ns
un solo servidor de nombres es un punto único de fallo
- errores.phpinfo
la página de diagnóstico sale a la calle, pero lo que enseña es el plano
- errores.traza-servidor
el error sale a la calle, pero lo que enseña es el plano
- exposicion.ip-interna
el plano de dentro: por organismo solo se cuenta, y el valor (la dirección, la ruta, la máquina) no se publica
- exposicion.listado-directorio
el plano de dentro: por organismo solo se cuenta, y el valor (la dirección, la ruta, la máquina) no se publica
- exposicion.maquina-local
el plano de dentro: por organismo solo se cuenta, y el valor (la dirección, la ruta, la máquina) no se publica
- exposicion.ruta-interna
el plano de dentro: por organismo solo se cuenta, y el valor (la dirección, la ruta, la máquina) no se publica
- exposicion.version-servidor
la versión que un servidor enseña a cualquiera se publica tal cual en la ficha de cada organismo («PHP/7.4.33», decisión del 12 de noviembre); esta regla, que dice que la portada la anuncia, va solo en agregado
- formulario.clave-por-get
dónde viaja una contraseña en la dirección es una lista de dónde escuchar
- formulario.clave-sin-cifrar
dónde viaja una contraseña sin cifrar es una lista de dónde escuchar
- obsoleto.libreria
una librería con fallos publicados, por organismo, es el dato CVE con nombre: va anonimizado
- seguridad.http-interno
un enlace interno por http es plano de dentro
- suministro.cdn-comprometido
qué sitio carga código de un servicio comprometido es una lista para atacar
- suministro.host-no-resuelve
un dominio que ya no resuelve es la receta de un secuestro
- transporte.cifrado-debil
un mapa de cifrado débil por pueblo es un mapa para atacar
- transporte.renegociacion
un mapa de servidores con renegociación insegura por pueblo es un mapa para atacar
- transporte.tls-antiguo
un mapa de versiones de cifrado retiradas por pueblo es un mapa para atacar
§ 5Los puntos ciegos que quedan
Lo que ni el método ni una decisión cierran del todo: se dice, y cuánto pesa se medirá cuando un fichero generado lo sostenga.
- Lo que pinta un programa.
Portadas que llegan casi vacías y las rellena un script; banners de cookies montados por código; «hace falta JavaScript». Lo que un script carga de un tercero no está en la captura, y se dice. Pintar la copia guardada sin red cubre hoy dos reglas y podría cubrir más.
- Los documentos.
Casi la mitad de las webs enlazan PDF, y ahí viven presupuestos, contratos, impresos y la accesibilidad de documentos. No se baja ninguno.
- Las zonas con certificado o con Cl@ve.
Todo lo que hay tras el acceso. Se dice en cada entrega, y se mide lo que la sede declara antes.
- Las aplicaciones y las redes.
Solo cabría el inventario de enlaces a tiendas y a perfiles; el resto, no.
- Lo que no se enlaza.
Direcciones que están en el sitemap y no en las páginas capturadas; subdominios conocidos y no visitados; lo que el tope dejó en la cola. Un sitemap es una ruta publicada y sus direcciones son lo que el sitio enlaza; una ruta inventada, no.
- Lo que el tope deja fuera.
En una web grande, una ausencia «en N páginas capturadas» puede estar en la página N+1. Las reglas de ausencia lo dicen cuando la web está cortada, y el núcleo sobre el que se juzgan es cosa del método, no del tope.
- Entre dos fotos.
Lo que cambia entre capturas no se ve hasta la siguiente. Certificados, DNS y disponibilidad pedirían otra frecuencia.