Verificamos nuestro propio sitio
Una empresa de ciberseguridad pide prueba a sus clientes; lo mínimo es enseñar la suya. Lo que hay en esta página se puede comprobar desde fuera, con las herramientas del propio navegador.
Conexión siempre cifrada
HTTPS obligatorio, con HSTS de dos años: el navegador no vuelve a intentar la versión sin cifrar.
Solo se ejecuta el JavaScript que hemos declarado
La política de contenido (CSP) no admite scripts en línea: el navegador solo ejecuta código servido por el propio sitio y por el único servicio declarado — el análisis de visitas (Plausible). Los formularios no usan CAPTCHA de terceros: los envíos automáticos se filtran en el propio sitio, con límite de solicitudes.
No se deja incrustar en otra página
X-Frame-Options y frame-ancestors impiden que el sitio se cargue dentro de otra página — es la defensa contra el clickjacking.
Sin cookies de análisis
El análisis de visitas no usa cookies ni guarda nada en el dispositivo. No hay banner porque no hay nada que consentir.
Fuentes e imágenes del sitio alojadas aquí
Las tipografías y las imágenes del propio sitio (sectores, globo, iconos) se sirven desde aquí. Las fotografías de los artículos y del equipo vienen del servicio externo donde están alojadas.
Panel con segundo factor
El panel de administración exige un segundo factor (TOTP), se bloquea tras intentos fallidos y guarda la sesión en una cookie que ningún script de la página puede leer.
Formularios con lo mínimo
Solo se pide lo que la respuesta necesita; hay límite de envíos por dirección, y el consentimiento queda registrado con la versión de la política. Puede exportar o borrar sus datos en la política de privacidad.
Ver la política de privacidadVerificación automática antes de publicar
Antes de cada publicación, comprobaciones automáticas confirman que los precios son los publicados y que ninguna página tiene scripts en línea; si algo falla, el sitio no se publica.
Cómo comprobarlo
Abra las herramientas del navegador (F12), pestaña Red, recargue la página y mire las cabeceras de la respuesta: Strict-Transport-Security, Content-Security-Policy y X-Frame-Options.
Última verificación de esta página: 03/10/2026
¿Ha encontrado un fallo?
Escriba a contact@valluris.com con «Seguridad» en el asunto: qué ha encontrado, dónde y cómo se reproduce.
Le pedimos que no acceda a datos de otras personas, no degrade el servicio y nos dé tiempo para corregir antes de divulgar. No hay programa de recompensas.
Dentro del alcance
- valluris.com y sus páginas
- la API en valluris.com/api y en valluris-backend.onrender.com
- el área de cliente (/conta) y el área de colaborador (/parceiros/area)
Fuera del alcance
- ataques de denegación de servicio
- ingeniería social o phishing a personas de Valluris
- informes automáticos sin impacto demostrado
Confirmamos la recepción en 5 días hábiles y respondemos por escrito a cada aviso.
contact@valluris.comEl mismo contacto está en /.well-known/security.txt.
El Diagnóstico es siempre el primer paso.
No hacemos seguimiento de un entorno que todavía no conocemos, y un plan recomendado sin diagnóstico es una suposición con precio. Dos fases, desde 390 €, con informe en cada una.