La Ley 21.459 en Chile exige medidas de seguridad razonables, pero pocos equipos pueden evaluar su exposición sin auditorías costosas o escaneos que afecten la disponibilidad.

El reto no era solo detectar cabeceras ausentes, sino diseñar un producto que cumpliera cinco objetivos:

• Proteger secretos APIs internas y credenciales de pipeline fuera del navegador del usuario.
• Comunicar progreso Feedback en tiempo real durante el análisis, no pantallas congeladas.
• Priorizar hallazgos Riesgos ordenados por impacto, no volcados técnicos sin contexto.
• Endurecer la plataforma Aplicar en producción las mismas prácticas que el escáner recomienda.
• Encadenar remediación Enlace explícito entre el informe y servicios de asesoría técnica tras el diagnóstico.

Un BFF en Node.js/Express sirve la SPA React y actúa como proxy hacia la API de análisis. El navegador nunca contacta api.arminvera.cl ni conoce el secreto del pipeline.

Navegador
   │
   │  same-origin (HTTPS)
   ▼
BFF Node/Express ─────────────────────────────────────────┐
   │                                                     │
   ├── POST /api/v1/public/verisite-pipeline/stream ────►│ API upstream
   │         (SSE · análisis en streaming)               │ (pipeline de seguridad)
   │                                                     │
   ├── GET  /api/report/:id/pdf ────────────────────────►│
   │                                                     │
   ├── POST /v1/analytics/events ───────────────────────►│ Analytics S2S
   │         (X-API-KEY · solo servidor)                 │
   │                                                     │
   └── /* estáticos (SPA React + Vite)                   │
                                                         ▼
                                              CDN PDF · cdn.arminvera.cl

El usuario ingresa URL y correo. El sistema normaliza el dominio, valida formato y registra aceptación legal antes de iniciar el análisis.

El BFF abre un stream con la API upstream. El frontend recibe eventos de progreso y muestra cada fase con feedback visual en tiempo casi real.

Los riesgos se clasifican por severidad (crítico, alto, medio, bajo) y se traducen a un score y grado comprensible para cualquier stakeholder.

El PDF queda disponible para visualización y descarga. Según el resultado, la UI orienta hacia remediación técnica o mejora continua.

• Proxy same-origin Elimina CORS, oculta secretos y unifica políticas de seguridad en un solo origen.
• Streaming SSE Reduce latencia percibida; cancelación controlada con timeouts de hasta 5 minutos.
• Analytics S2S Eventos de producto sin exponer API keys en el bundle del cliente.
• Defensa en profundidad Rate limit en servidor + cooldown UX en localStorage por hostname.
• Build verificable Checklist de despliegue que audita ausencia de secretos en artefactos estáticos.

La plataforma implementa CSP restrictiva, deshabilita X-Powered-By, aplica referrer estricto, limita payloads y valida TRUST_PROXY en producción.

El escáner es pasivo por diseño: no explota vulnerabilidades, no modifica servidores analizados ni accede a zonas privadas. Marco legal claro para el usuario final.

VeriSite demuestra capacidad para llevar un producto de concepto a producción con estándares enterprise: arquitectura desacoplada, seguridad desde el diseño y UX orientada a la acción posterior al informe.

• Punto de entrada técnico Captura equipos que ya reconocen riesgos en su infraestructura web.
• Prueba de competencia Evidencia dominio en full-stack, APIs, streaming y hardening.
• Puente a servicios Conecta diagnóstico gratuito con asesoría de remediación y consultoría.