Factory

Cumplimiento mínimo de un sitio web

42 puntos en 7 áreas que debe cumplir cualquier sitio antes de salir a producción. Pensado para Chile, con referencias a GDPR cuando el público es europeo.

Esta guía es técnica y orientativa, no constituye asesoría legal. Las obligaciones exactas dependen del tipo de sitio, de los datos que trate y de la normativa vigente: valida los puntos legales con un abogado.

1. HTTPS y transporte

Base de la confianza y requisito previo de casi todo lo demás.

  • HTTPS en todo el sitio

    • Esencial

    Certificado válido y renovación automática. HTTP redirige a HTTPS (301).

    Verificar: SSL Labs · curl -I http://dominio

  • HSTS

    Cabecera Strict-Transport-Security con max-age de al menos 6 meses (idealmente 1 año).

  • Sin contenido mixto

    • Esencial

    Ningún recurso (imagen, script, fuente) se carga por HTTP.

    Verificar: Consola del navegador

2. Cabeceras y seguridad básica

Defensas de bajo costo contra los ataques web más comunes.

  • Content-Security-Policy

    Política que limite de dónde se cargan scripts, estilos y frames. Empezar en modo report-only si hay terceros.

  • X-Content-Type-Options: nosniff

    Evita que el navegador adivine el tipo MIME.

  • Referrer-Policy

    strict-origin-when-cross-origin como mínimo razonable.

  • Protección contra clickjacking

    frame-ancestors en CSP (o X-Frame-Options) para controlar quién puede incrustar el sitio.

  • Permissions-Policy

    Desactivar cámara, micrófono y geolocalización si no se usan.

  • security.txt

    Archivo /.well-known/security.txt (RFC 9116) con un contacto para reportar vulnerabilidades.

    Abrir en Claude Ver guía (Markdown)

  • Dependencias y secretos

    • Esencial

    Sin secretos en el repositorio o en el JS del cliente. Dependencias auditadas (npm audit / Dependabot).

  • Formularios

    Validación en servidor, protección anti-spam (honeypot, Turnstile) y límites de tasa. Si hay sesión: cookies Secure, HttpOnly y SameSite.

3. Privacidad y datos personales

En Chile, la Ley 21.719 (nueva Ley de Protección de Datos Personales) entra en vigencia el 1 de diciembre de 2026 y reemplaza gran parte de la Ley 19.628. Si el sitio trata datos de personas de la UE aplica además el GDPR.

  • Política de privacidad publicada

    • Legal

    Accesible desde el pie de página en todas las páginas. Debe indicar: quién es el responsable y cómo contactarlo, qué datos se recogen, para qué (finalidad), base de licitud, con quién se comparten, cuánto tiempo se conservan y dónde se almacenan.

  • Mapa de datos

    • Legal

    Inventario simple de qué datos entran (formularios, analítica, pagos, logs) y a qué terceros salen.

  • Consentimiento cuando corresponda

    • Legal

    Casilla sin marcar de antemano, texto claro y posibilidad de retirarlo tan fácil como se dio. No condicionar el servicio a consentimientos innecesarios.

  • Derechos de las personas

    • Legal

    Canal visible para ejercer acceso, rectificación, supresión, oposición, portabilidad y bloqueo. Responder dentro de los plazos legales.

  • Banner de cookies y analítica

    • Legal

    Cookies no esenciales (analítica, publicidad) solo tras consentimiento cuando aplique GDPR/ePrivacy. Botones de aceptar y rechazar con el mismo peso visual. Lista de cookies y su finalidad.

  • Terceros declarados

    • Legal

    Google Tag Manager, Analytics, fuentes de Google, píxeles, chats y mapas también son tratamiento de datos: declararlos y cargarlos solo con la base adecuada.

  • Plan ante brechas

    • Legal

    Saber quién avisa a quién y en qué plazo si hay una filtración. Registrar el incidente.

4. Información legal y de consumo

Aplica sobre todo si el sitio vende o contrata en línea (Ley 19.496 del Consumidor y su reglamento de comercio electrónico).

  • Identificación del proveedor

    • Legal

    Razón social o nombre, RUT, domicilio y medios de contacto visibles.

  • Términos y condiciones

    • Legal

    Publicados y aceptados de forma explícita antes de contratar (no pre-marcados). Guardar evidencia de la aceptación.

  • Precios claros

    • Legal

    Precio final con impuestos, costos de despacho y moneda visibles antes del pago.

  • Retracto, cambios y garantía legal

    • Legal

    Explicar cómo ejercer el derecho de retracto (10 días en los casos que la ley lo permite), cambios y garantía legal. Revisar excepciones aplicables.

  • Confirmación de compra

    • Legal

    Enviar al consumidor una confirmación escrita con copia clara de lo contratado.

  • Canal de reclamos

    • Legal

    Formulario o correo para reclamos, con plazo de respuesta.

  • Derechos de autor y licencias

    • Legal

    Imágenes, fuentes, íconos y código con licencia vigente. Atribución cuando se exija.

5. Accesibilidad

Estándar de referencia: WCAG 2.2 nivel AA. En Chile la Ley 20.422 consagra la igualdad de oportunidades de personas con discapacidad, y los sitios del Estado tienen exigencias específicas.

  • HTML semántico

    • Esencial

    Un único h1, jerarquía de encabezados, landmarks (header, nav, main, footer) y atributo lang correcto.

  • Navegación por teclado

    • Esencial

    Todo es operable con teclado, el foco es visible y existe enlace para saltar al contenido.

  • Contraste

    • Esencial

    4.5:1 para texto normal y 3:1 para texto grande y controles.

  • Alternativas textuales

    • Esencial

    Texto alternativo en imágenes informativas, etiquetas en campos de formulario y errores descritos en texto.

  • Movimiento y zoom

    Respetar prefers-reduced-motion. El sitio funciona con zoom al 200% y en móvil sin scroll horizontal.

  • Declaración de accesibilidad

    Página breve con el nivel alcanzado, limitaciones conocidas y contacto para reportar problemas.

6. Descubribilidad y calidad técnica

Lo mínimo para que el sitio se indexe, se comparta y sea rápido.

  • Metadatos

    title y description únicos por página, canonical, Open Graph y Twitter Card.

  • robots.txt y sitemap.xml

    Publicados, y el sitemap referenciado desde robots.txt.

  • Página 404 útil

    Responde con código 404 real y ofrece enlaces de salida.

  • Rendimiento (Core Web Vitals)

    LCP ≤ 2,5 s, INP ≤ 200 ms y CLS ≤ 0,1. Imágenes optimizadas y dimensionadas.

    Verificar: Lighthouse · PageSpeed Insights

  • Responsive e idioma

    Meta viewport, diseño adaptable y lang / hreflang si hay más de un idioma.

  • Favicon y manifest

    Íconos y site.webmanifest para pestañas e instalación.

7. Operación y continuidad

Lo que mantiene el sitio sano después del lanzamiento.

  • Respaldos y recuperación

    Código en git y datos con respaldo probado. Saber cómo restaurar.

  • Dominio y DNS

    Renovación automática, bloqueo de transferencia y registros SPF, DKIM y DMARC si el dominio envía correo.

  • Monitoreo

    Aviso de caída, vencimiento de certificado y errores del servidor.

  • Actualizaciones

    Rutina periódica de actualización de dependencias y revisión de este checklist.

  • Propiedad y accesos

    Dominio, hosting y cuentas a nombre del cliente, con autenticación en dos pasos.

Qué significan las etiquetas

Esencial
Estrictamente necesario en cualquier sitio, sin condiciones. Si un punto solo se necesita en ciertos casos, no lleva esta etiqueta. Por ejemplo, la política de privacidad es necesaria únicamente si el sitio recoge datos personales.
Legal
Deriva de una obligación legal (protección de datos, consumo). Puede aplicar solo en ciertos casos, según lo que haga el sitio. Sin etiqueta, el punto es una buena práctica técnica.

Fuentes