Transparencia
Cumplimiento y estándares
Esta página resume los estándares técnicos, de seguridad y legales que aplicamos al desarrollar autoclubbqto.com. La transparencia es parte de cómo construimos confianza — la misma con la que vendemos carros desde 2011.
Seguridad de la información
- OWASP Top 10 (2021)
- Mitigaciones aplicadas en cada release: A01 control de acceso, A02 cifrado, A03 inyección, A05 misconfiguration, A07 autenticación, A10 SSRF.
- Lineamientos ISO/IEC 27001
- Gestión de claves, principio de mínimo privilegio, separación de entornos, registros de auditoría (laravel-auditing).
- TLS 1.3 + HSTS
- Caddy con HTTP/3, certificados Let's Encrypt automatizados, ECH habilitado por Cloudflare.
- Multi-factor authentication
- TOTP obligatorio para todos los administradores (Filament v5 + RFC 6238).
- Rate limiting
- 10 req/min en captura de leads, 5/min en login, 300/min en lectura de catálogo. Bloqueo de IPs sospechosas vía fail2ban.
- Cloudflare Turnstile
- Challenge anti-bot sin cookies en el formulario de alerta de carro, cumple con privacidad por diseño (no rastrea entre sitios).
Calidad de software
- Lineamientos ISO/IEC 25010
- Atributos priorizados: funcionalidad, fiabilidad, eficiencia (LCP <2.5s p75), mantenibilidad, portabilidad.
- IEEE 12207
- Ciclo de vida del software con sprints versionados, definición de hecho, revisión de código por pares y trazabilidad de cambios en git.
- Auditoría post-sprint
- Cada sprint cierra con revisión OWASP + bitácora pública en este sitio.
- Datos verificables
- Sin tracking analytics de terceros (usamos Umami self-hosted), sin scripts opacos, código abierto en GitHub.
Accesibilidad y UX
- WCAG 2.2 AA
- Contrastes ≥ 4.5:1, navegación por teclado, focus visible, etiquetas ARIA en modales y formularios, prefers-reduced-motion respetado.
- Lighthouse Best Practices
- Auditorías regulares con score ≥ 92/100. Imágenes lazy + WebP + dimensiones explícitas para evitar CLS.
- Mobile first
- Diseño optimizado para conexiones 3G y dispositivos de gama media — el grueso del tráfico en Lara.
- Idioma es-VE declarado
- Atributo lang correcto para lectores de pantalla y traducción automática.
Privacidad y datos personales
- LOPDP venezolana
- Solo capturamos los datos mínimos necesarios para contacto comercial. No los vendemos ni compartimos con terceros.
- GDPR equivalente
- Cumplimos los principios de finalidad, minimización, limitación de plazo y derecho de acceso aunque no operamos en la UE.
- IPs anonimizadas
- Las IPs se almacenan como hash SHA-256 (no reversibles) para detección de abuso, nunca en claro.
- Sin trackers de terceros
- Umami self-hosted en analytics.autoclubbqto.com, sin Google Analytics ni Meta Pixel.
Cumplimiento legal del sector automotriz (Venezuela)
- SAREN + INTT
- Trámite legal completo (notaría + registro nacional + experticia + solvencia). No realizamos el "directo", prohibido por la Ley contra la Delincuencia Organizada.
- Verificación CICPC
- Cada vehículo se consulta en act1.mp.gob.ve antes de publicarse en catálogo.
- Política de precios
- Precios en Ref. (referenciales) según práctica de mercado venezolana, ajustados a tasa BCV al momento de la negociación.
- Inspección documentada
- Cada vehículo se revisa en nuestra sede antes de publicarse y el reporte queda por escrito.
Estándares web abiertos
- Schema.org (JSON-LD)
- Marcado estructurado para AutoDealer, Vehicle, FAQPage, Article, BreadcrumbList — facilita resultados enriquecidos en buscadores.
- Open Graph + Twitter Cards
- Vista previa correcta al compartir en redes sociales y mensajería.
- Sitemap XML + robots.txt
- Indexación clara para motores de búsqueda y asistentes de IA. El sitemap se regenera solo cuando cambia el inventario, y los carros vendidos salen de él.
- Web Vitals
- Métricas LCP, INP, CLS monitorizadas. Server-side rendering + ISR para latencia mínima.
Reportar una vulnerabilidad
Si encuentras un fallo de seguridad, escríbenos por WhatsApp al 0414-5200715 con los pasos para reproducir. Agradecemos las divulgaciones responsables y respondemos en horario de atención (lun a vie 8 AM – 6 PM · sáb 9 AM – 3 PM, hora Venezuela).
Última revisión técnica: 9 de septiembre de 2026. Documento vivo: se actualiza al cierre de cada sprint.