LA METODOLOGÍA · V0.1

Buenas preguntas.
Pasos útiles para avanzar.

Una primera mirada práctica a los riesgos que separan tu aplicación de un lanzamiento fiable en producción.

Qué cubre la evaluación rápida

Usamos un banco de 25 preguntas vinculadas a una taxonomía de ingeniería con 936 comprobaciones en 30 ámbitos. El tipo de producto, su exposición, los datos, las funcionalidades y su criticidad determinan qué preguntas se aplican. Un sitio web sencillo tiene menos comprobaciones que una aplicación con cuentas, pagos e IA. Nunca añadimos preguntas irrelevantes para alcanzar una cifra concreta.

La evaluación rápida revisa una selección de controles sobre recorridos críticos de usuario, seguridad, accesibilidad, despliegues, recuperación, observabilidad, responsabilidad operativa y rendimiento. Cuando corresponde, incluye autenticación, autorización, aislamiento entre clientes, privacidad, copias de seguridad, API, integraciones, pagos y medidas de protección para la IA. No revisa la taxonomía completa.

Qué significan tus respuestas

Hecho

Indicas que el control está implantado. Es una declaración tuya, sin verificación independiente.

Pendiente

Indicas que el control falta o está incompleto. El informe incluye una acción recomendada.

No lo sé

Indicas que no lo sabes. El siguiente paso es verificar el control.

No aplica

Explicas por qué una comprobación incluida no se aplica. La respuesta permanece visible en el registro.

Sin revisar

Has omitido la pregunta o aún no has llegado a ella. Nunca se cuenta como hecha ni se marca automáticamente como no aplicable.

Las prioridades necesitan contexto

P0 señala un riesgo potencialmente importante a corto plazo; P1 identifica un control de producción que conviene planificar a continuación; P2 corresponde a una práctica avanzada o que depende del contexto. Las prioridades del catálogo v3 son provisionales y aún requieren validación editorial. En los prototipos locales, P0 es una señal de riesgo, no un requisito obligatorio para lanzar. Las aplicaciones críticas para el negocio o sujetas a regulación necesitan revisión humana antes de fijar prioridades o decidir su lanzamiento.

Evidencias y niveles de verificación

El modelo distingue entre controles sin comprobar, controles declarados por quien responde, controles verificados automáticamente y verificaciones automáticas fallidas. Esta primera versión solo registra los dos primeros niveles. No inspecciona repositorios, ejecuta análisis, se conecta a tu aplicación ni consulta servicios de IA. Ningún control del informe se ha verificado de forma independiente.

Un punto de partida con límites claros

No hay puntuaciones de certificación ni un resultado de aprobado o suspenso. Los resultados reflejan tus respuestas en un momento concreto y no garantizan seguridad, disponibilidad, accesibilidad ni cumplimiento normativo. Una evaluación de cinco minutos no sustituye al modelado de amenazas, las pruebas de intrusión, una auditoría técnica detallada ni el criterio profesional.

Da el siguiente paso

El informe incluye controles pendientes, dudas, preguntas omitidas, indicaciones para verificar y una lista de tareas técnicas por prioridades. Expórtalo en Markdown o guarda tu sesión local en JSON.