Política de seguridad
Una página de seguridad que solo dice «nos tomamos muy en serio tu seguridad» no vale nada. Esta dice qué hay puesto, qué no, y dónde están los huecos: porque una limitación declarada es una que alguien puede ayudar a cerrar, y una escondida es una que se queda.
Todo viaja cifrado
El sitio entero se sirve por HTTPS, y el formulario también. Lo que escribes viaja cifrado a este mismo dominio: no pasa por ningún servicio de formularios de terceros, y el mensaje se entrega por SMTP autenticado y con firma (DKIM), para que el buzón que lo recibe pueda verificar que de verdad salió de aquí.
El destinatario está fijo en el código
Esta es la parte que merece explicación, porque es la forma clásica en que se abusa de un sitio pequeño. La dirección a la que va tu mensaje está escrita en el programa, y nunca se lee de la petición. Un formulario que aceptara su destino desde fuera convertiría este dominio en un relé de spam en una semana, y con el nombre de Justin puesto.
Todo lo que acaba en las cabeceras de ese correo pasa por un limpiado de saltos de línea y caracteres de control, en dos capas distintas, y la comprobación falla cerrada: el texto mal formado se rechaza en vez de pasarlo y confiar.
Lo que no hay aquí a propósito
La mayor parte de la seguridad de un sitio como este viene de lo que no hace:
- No hay cuentas, ni contraseñas, ni sesiones. No hay ningún acceso que forzar ni ninguna contraseña tuya guardada en ninguna parte.
- No hay base de datos. Tu mensaje es un correo, no una fila en una tabla esperando a que alguien la volcara.
- No se pueden subir archivos y no se cobra: ni pasarela, ni formulario de tarjeta, ni procesador de pagos.
- No hay rastreadores de publicidad. La única herramienta de medición es Google Analytics, en la portada y en los artículos, y nunca recibe lo que escribes: mira la política de cookies.
- Nada de lo que escribes se imprime de vuelta en una página. Eso es lo que hace imposible aquí el ataque web más común (XSS), y se probó enviando uno.
Al navegador se le dan instrucciones estrictas
Cada página lleva una política de seguridad de contenido: una lista que le dice a tu navegador exactamente qué código puede ejecutar y de dónde pueden venir las imágenes y los marcos. Lo que quede fuera de esa lista no se ejecuta, incluido —si alguna vez pasara— algo inyectado por otra persona. Las páginas que no necesitan JavaScript están más cerradas que las que sí.
La lista solo nombra a Google en las páginas que cuentan visitas. Las páginas legales, que no cuentan nada, no pueden cargar nada de fuera de este dominio.
Contra robots e inundaciones
El formulario cuenta cuántos mensajes se han mandado desde la misma conexión: como mucho unos pocos en cinco minutos y doce en una hora, más un techo para el sitio entero para que nadie pueda llenar el buzón repartiendo el envío entre muchas direcciones. Para contar guarda una huella irreversible de tu IP, no la dirección, y caduca sola al cabo de una hora.
Si alguna vez tocas ese límite sin querer, el mensaje te dice cuántos minutos faltan y te ofrece WhatsApp, que el límite no puede tapar. Nadie debería perder una clase por una regla antispam.
Las limitaciones, declaradas
Esta es la sección que la mayoría de las páginas de seguridad no tiene.
- Esto es un alojamiento compartido, no un servidor propio. La seguridad de la máquina de debajo es del proveedor de alojamiento, no algo que este sitio controle.
- Algunas protecciones del navegador solo se pueden mandar como cabeceras HTTP de verdad, y las páginas estáticas de aquí todavía no pueden mandarlas todas. Está en curso, y se escribe en vez de pasarse por alto.
- El correo es el correo. Un mensaje que sale de aquí correctamente firmado puede acabar igual en una carpeta de spam, y eso no lo puede prometer ningún sitio. Si escribes y no recibes respuesta en un día, mira tu carpeta de spam y luego usa WhatsApp.
¿Has encontrado un problema? Así se avisa
Escribe a contact@estudioabrahampiano.com con el asunto SEGURIDAD y cuenta qué encontraste y cómo reproducirlo. No hay recompensa —esto es la web de un profesor de piano— pero un aviso real recibe respuesta de una persona y se arregla, y se te reconoce el mérito si lo quieres.
Lo que se pide a cambio es lo de siempre: no ejecutes nada que degrade el servicio para los alumnos que lo están usando, no leas ni alteres datos que no son tuyos, y da un plazo razonable antes de publicar. Esta misma dirección está publicada en formato legible por máquinas en /.well-known/security.txt.