Política de privacidad
En vigor desde el 23 de octubre de 2026
ecdsa.com está diseñado para que las claves, los tokens y los documentos que pegas en sus herramientas se queden en tu navegador. Esta política abarca todo lo demás: qué llega a nuestros servidores, qué se guarda y durante cuánto tiempo, quién lo trata por cuenta nuestra y cómo puedes consultarlo o eliminarlo. Describe lo que hace el código del sitio.
En resumen
- Las herramientas se ejecutan en tu navegador. Las claves, los tokens, los certificados y los documentos que pegas en ellas se procesan en tu dispositivo y no se nos envían.
- 27 herramientas envían datos públicos —un dominio, una URL, una dirección, una clave pública— y solo cuando pulsas el botón que lo hace. La lista de más abajo indica qué se envía y adónde va.
- Guardamos una dirección de correo solo cuando nos la das: para el boletín, las alertas de certificados, la lista de espera o una cuenta.
- No hay publicidad, ni seguimiento, ni venta de datos. Las únicas cookies son las que mantienen tu sesión iniciada.
- Las visitas se cuentan con Vercel Web Analytics, que no usa cookies y recibe las direcciones de las páginas sin su cadena de consulta ni su fragmento.
- Puedes exportar o eliminar tus datos por tu cuenta, o escribir a privacy@ecdsa.com.
Quién es el responsable
El operador de ecdsa.com es KeepFlow L.L.C-FZ, Meydan Grandstand, 6th floor, Meydan Road, Nad Al Sheba, Dubai, U.A.E. («nosotros»). Decidimos por qué y cómo se tratan los datos descritos aquí, y somos responsables de ellos.
Para cualquier cuestión sobre tus datos o sobre esta política, escribe a privacy@ecdsa.com.
Lo que se queda en tu navegador
Todas las herramientas se ejecutan en tu dispositivo, salvo que su página indique lo contrario. Lo que escribes o pegas en una herramienta lo procesa código que se ejecuta en tu navegador y no se envía a ecdsa.com ni a nadie más. Las excepciones son las herramientas de la sección siguiente, y estas solo envían lo que se describe en ella.
- Los enlaces para compartir guardan el estado de una herramienta en la parte de la dirección que va después de
#s=. Los navegadores no envían esa parte a ningún servidor, y la función de compartir omite los campos privados, como las claves privadas. - La búsqueda del sitio (⌘K) descarga su índice y busca en él dentro de tu navegador: lo que escribes en el cuadro de búsqueda no se envía.
- El cuadro de la página de inicio que reconoce la entrada pegada lo hace en tu navegador y abre la herramienta correspondiente con esa entrada en la parte de la dirección destinada a compartir.
- El sitio se puede instalar y usar sin conexión: tu navegador guarda copias de sus páginas y scripts. No contienen nada de lo que hayas escrito.
Unas pocas funciones guardan datos en el almacenamiento local de tu navegador. Ese almacenamiento permanece en tu dispositivo y nunca se nos envía; si borras los datos del sitio en tu navegador, se elimina.
| Nombre | Qué contiene |
|---|---|
ecdsa.my-domains.v1 | Tu lista de Mis dominios y el último resultado de cada comprobación. |
ecdsa.course.v1 | Qué lecciones del curso terminaste y el nombre para el certificado, si escribes uno. |
ecdsa.passkey-sandbox.v1 | Las credenciales de prueba del entorno de pruebas de llaves de acceso (solo datos públicos), cuando le pides que las recuerde. |
ecdsa:language-banner:dismissed | Que cerraste la sugerencia de leer una página en otro idioma; solo se muestra cuando el sitio está disponible en más de un idioma. |
ecdsa:theme | Tu elección de un tema claro u oscuro, una vez que se ofrezca el selector de tema. |
Herramientas que envían datos cuando lo pides
27 herramientas necesitan datos a los que un navegador no puede acceder por sí solo. Cada una envía datos solo cuando pulsas su botón, y solo los que se indican aquí. La lista se genera a partir de las propias declaraciones de las herramientas, y la página de cada herramienta repite su declaración junto al botón.
Cuando una herramienta contacta con otro servicio directamente desde tu navegador, ese servicio ve tu dirección IP y los detalles de tu navegador como ve cualquier visita, según su propia política de privacidad. Cuando una herramienta pasa por nuestro servidor, el otro servicio ve nuestro servidor en lugar de a ti.
Comprobador de reutilización de nonces
- Envía:
- una dirección de Bitcoin
- Destino:
- ecdsa.com (nuestro servidor)
Esta herramienta consulta la API pública de mempool.space: la dirección que escribes se envía a nuestro servidor y de ahí a mempool.space. No interviene ninguna clave ni firma tuya.
- Envía:
- una URL
- Destino:
- ecdsa.com (nuestro servidor)
Esta comprobación se hace en nuestro servidor: a ecdsa.com solo se envía una dirección —una URL https o un nombre de dominio—, y el servidor la descarga por ti (de todos modos, un navegador no puede descargar el JWKS de otro dominio: CORS lo impide). Todo lo demás que escribas se queda en tu navegador, y no se guarda nada.
- Envía:
- una clave pública o su huella digital
- Destino:
- ecdsa.com (nuestro servidor)
Las comprobaciones se ejecutan en tu navegador. Solo cuando pulsas «Comprobar en el servidor» se envían a ecdsa.com el hash de badkeys de cada clave pública y los módulos RSA; nunca una clave privada.
- Envía:
- un nombre de dominio
- Destino:
- cloudflare-dns.com
- dns.google
La generación de registros y la comprobación de registros pegados se hacen en tu navegador. «Comprobar DNS» envía el nombre de dominio —y sus nombres padre, a medida que la consulta CAA sube por la jerarquía— al resolvedor DNS-over-HTTPS que elijas (Cloudflare o Google). No se envía nada más, y nuestros servidores no reciben nada.
- Envía:
- un nombre de dominio
- Destino:
- cloudflare-dns.com
- dns.google
Los certificados se leen y los registros se calculan en tu navegador. «Consultar en el DNS» envía el nombre del registro (por ejemplo, _25._tcp.mail.example.com) al resolvedor DNS-over-HTTPS que elijas (Cloudflare o Google); los certificados y los registros pegados nunca se envían a ningún sitio.
- Envía:
- un nombre de dominio
- Destino:
- cloudflare-dns.com
- dns.google
Las firmas se verifican en tu navegador. Al inspeccionar un nombre, se envían consultas DNS sobre él, sus zonas padre y sus claves al resolvedor DNS-over-HTTPS que elijas (Cloudflare o Google), y nada más; nuestros servidores no reciben nada.
Comprobación de TLS poscuántico del navegador
- Envía:
- lo que indica su declaración
- Destino:
- pq.cloudflareresearch.com
- www.cloudflare.com
Al pulsar «Comprobar mi navegador», tu navegador hace dos solicitudes a Cloudflare (pq.cloudflareresearch.com y www.cloudflare.com/cdn-cgi/trace), sin cookies; Cloudflare ve la solicitud como ve cualquier visita. No se envía nada de esta página, y la dirección IP que aparece en la respuesta nunca se muestra ni se incluye en un enlace.
- Envía:
- lo que indica su declaración
- Destino:
- ecdsa.com (nuestro servidor)
«Mostrar mi huella» pide al propio servidor de ecdsa.com el JA4 que la red perimetral de Vercel calculó para esta conexión; con la solicitud no se envía nada, y la huella no se guarda ni se registra. Las huellas y los ClientHello que pegas se analizan en tu navegador.
Comprobador masivo de dominios
- Envía:
- un nombre de dominio
- Destino:
- ecdsa.com (nuestro servidor)
La lista se lee en tu navegador. Al pulsar «Comprobar», se envía cada nombre de dominio a la API pública de ecdsa.com (/api/v1/health), que se conecta a ese dominio en el puerto 443 y guarda el resultado en su caché durante una hora; no se envía nada más.
- Envía:
- un nombre de dominio
- Destino:
- cloudflare-dns.com
Tu mensaje nunca sale de este navegador. Solo se envían al resolvedor DNS-over-HTTPS de Cloudflare los nombres de clave a los que apuntan las firmas (selector._domainkey.dominio), y solo cuando pulsas el botón que los consulta.
- Envía:
- un nombre de dominio
- Destino:
- cloudflare-dns.com
Tu mensaje nunca sale de este navegador. Solo se envían al resolvedor DNS-over-HTTPS de Cloudflare los nombres de clave a los que apuntan los sellos y las firmas (selector._domainkey.dominio), y solo cuando pulsas el botón que los consulta.
- Envía:
- un nombre de dominio
- Destino:
- cloudflare-dns.com
Las claves se generan en este navegador; la clave privada nunca se envía ni se incluye en un enlace para compartir. Solo se envía el nombre del registro (selector._domainkey.dominio) al resolvedor DNS-over-HTTPS de Cloudflare, y solo cuando pulsas «Comprobar DNS».
- Envía:
- una dirección de Ethereum
- Destino:
51 servicios públicos
- 1rpc.io
- api.avax.network
- arb1.arbitrum.io
- arbitrum-one-rpc.publicnode.com
- avalanche-c-chain-rpc.publicnode.com
- base-rpc.publicnode.com
- base-sepolia-rpc.publicnode.com
- berachain-rpc.publicnode.com
- blast-rpc.publicnode.com
- bsc-dataseed.bnbchain.org
- bsc-rpc.publicnode.com
- celo-rpc.publicnode.com
- cloudflare-eth.com
- eth.drpc.org
- ethereum-hoodi-rpc.publicnode.com
- ethereum-rpc.publicnode.com
- ethereum-sepolia-rpc.publicnode.com
- forno.celo.org
- gnosis-rpc.publicnode.com
- linea-rpc.publicnode.com
- mainnet.base.org
- mainnet.era.zksync.io
- mainnet.optimism.io
- mainnet.unichain.org
- mantle-rpc.publicnode.com
- nova.arbitrum.io
- optimism-rpc.publicnode.com
- polygon-amoy-bor-rpc.publicnode.com
- polygon-bor-rpc.publicnode.com
- polygon.drpc.org
- rpc-gel.inkonchain.com
- rpc.berachain.com
- rpc.blast.io
- rpc.gnosischain.com
- rpc.hoodi.ethpandaops.io
- rpc.hyperliquid.xyz
- rpc.linea.build
- rpc.mantle.xyz
- rpc.monad.xyz
- rpc.scroll.io
- rpc.soneium.org
- rpc.soniclabs.com
- rpc.zora.energy
- scroll-rpc.publicnode.com
- sepolia-rollup.arbitrum.io
- sepolia.base.org
- sepolia.drpc.org
- sepolia.optimism.io
- sonic-rpc.publicnode.com
- unichain-rpc.publicnode.com
- worldchain-mainnet.g.alchemy.com
Los datos tipados se quedan en este navegador. Solo cuando pulsas «Comprobar en la cadena» se envían las direcciones del spender y del operador a un nodo RPC público de la cadena del dominio (indicado junto al botón), para preguntar si son contratos.
Verificador de firmas de Ethereum
- Envía:
- una dirección de Ethereum
- una firma
- un hash de mensaje
- Destino:
51 servicios públicos
- 1rpc.io
- api.avax.network
- arb1.arbitrum.io
- arbitrum-one-rpc.publicnode.com
- avalanche-c-chain-rpc.publicnode.com
- base-rpc.publicnode.com
- base-sepolia-rpc.publicnode.com
- berachain-rpc.publicnode.com
- blast-rpc.publicnode.com
- bsc-dataseed.bnbchain.org
- bsc-rpc.publicnode.com
- celo-rpc.publicnode.com
- cloudflare-eth.com
- eth.drpc.org
- ethereum-hoodi-rpc.publicnode.com
- ethereum-rpc.publicnode.com
- ethereum-sepolia-rpc.publicnode.com
- forno.celo.org
- gnosis-rpc.publicnode.com
- linea-rpc.publicnode.com
- mainnet.base.org
- mainnet.era.zksync.io
- mainnet.optimism.io
- mainnet.unichain.org
- mantle-rpc.publicnode.com
- nova.arbitrum.io
- optimism-rpc.publicnode.com
- polygon-amoy-bor-rpc.publicnode.com
- polygon-bor-rpc.publicnode.com
- polygon.drpc.org
- rpc-gel.inkonchain.com
- rpc.berachain.com
- rpc.blast.io
- rpc.gnosischain.com
- rpc.hoodi.ethpandaops.io
- rpc.hyperliquid.xyz
- rpc.linea.build
- rpc.mantle.xyz
- rpc.monad.xyz
- rpc.scroll.io
- rpc.soneium.org
- rpc.soniclabs.com
- rpc.zora.energy
- scroll-rpc.publicnode.com
- sepolia-rollup.arbitrum.io
- sepolia.base.org
- sepolia.drpc.org
- sepolia.optimism.io
- sonic-rpc.publicnode.com
- unichain-rpc.publicnode.com
- worldchain-mainnet.g.alchemy.com
Los mensajes y las firmas se comprueban en este navegador. Solo cuando pulsas «Comprobar en la cadena» se envían la dirección de la billetera, el resumen de 32 bytes y la firma a un nodo RPC público de la cadena que elijas (indicado junto al botón). Las frases semilla y las claves privadas se rechazan y nunca se procesan.
- Envía:
- una dirección de Ethereum
- una firma
- un hash de mensaje
- Destino:
51 servicios públicos
- 1rpc.io
- api.avax.network
- arb1.arbitrum.io
- arbitrum-one-rpc.publicnode.com
- avalanche-c-chain-rpc.publicnode.com
- base-rpc.publicnode.com
- base-sepolia-rpc.publicnode.com
- berachain-rpc.publicnode.com
- blast-rpc.publicnode.com
- bsc-dataseed.bnbchain.org
- bsc-rpc.publicnode.com
- celo-rpc.publicnode.com
- cloudflare-eth.com
- eth.drpc.org
- ethereum-hoodi-rpc.publicnode.com
- ethereum-rpc.publicnode.com
- ethereum-sepolia-rpc.publicnode.com
- forno.celo.org
- gnosis-rpc.publicnode.com
- linea-rpc.publicnode.com
- mainnet.base.org
- mainnet.era.zksync.io
- mainnet.optimism.io
- mainnet.unichain.org
- mantle-rpc.publicnode.com
- nova.arbitrum.io
- optimism-rpc.publicnode.com
- polygon-amoy-bor-rpc.publicnode.com
- polygon-bor-rpc.publicnode.com
- polygon.drpc.org
- rpc-gel.inkonchain.com
- rpc.berachain.com
- rpc.blast.io
- rpc.gnosischain.com
- rpc.hoodi.ethpandaops.io
- rpc.hyperliquid.xyz
- rpc.linea.build
- rpc.mantle.xyz
- rpc.monad.xyz
- rpc.scroll.io
- rpc.soneium.org
- rpc.soniclabs.com
- rpc.zora.energy
- scroll-rpc.publicnode.com
- sepolia-rollup.arbitrum.io
- sepolia.base.org
- sepolia.drpc.org
- sepolia.optimism.io
- sonic-rpc.publicnode.com
- unichain-rpc.publicnode.com
- worldchain-mainnet.g.alchemy.com
El mensaje y la firma se comprueban en este navegador. Solo cuando pulsas «Comprobar en la cadena» se envían la dirección, el resumen EIP-191 y la firma a un nodo RPC público de la cadena del mensaje (indicado junto al botón).
- Envía:
- una dirección de Ethereum
- los campos de una transacción
- Destino:
51 servicios públicos
- 1rpc.io
- api.avax.network
- arb1.arbitrum.io
- arbitrum-one-rpc.publicnode.com
- avalanche-c-chain-rpc.publicnode.com
- base-rpc.publicnode.com
- base-sepolia-rpc.publicnode.com
- berachain-rpc.publicnode.com
- blast-rpc.publicnode.com
- bsc-dataseed.bnbchain.org
- bsc-rpc.publicnode.com
- celo-rpc.publicnode.com
- cloudflare-eth.com
- eth.drpc.org
- ethereum-hoodi-rpc.publicnode.com
- ethereum-rpc.publicnode.com
- ethereum-sepolia-rpc.publicnode.com
- forno.celo.org
- gnosis-rpc.publicnode.com
- linea-rpc.publicnode.com
- mainnet.base.org
- mainnet.era.zksync.io
- mainnet.optimism.io
- mainnet.unichain.org
- mantle-rpc.publicnode.com
- nova.arbitrum.io
- optimism-rpc.publicnode.com
- polygon-amoy-bor-rpc.publicnode.com
- polygon-bor-rpc.publicnode.com
- polygon.drpc.org
- rpc-gel.inkonchain.com
- rpc.berachain.com
- rpc.blast.io
- rpc.gnosischain.com
- rpc.hoodi.ethpandaops.io
- rpc.hyperliquid.xyz
- rpc.linea.build
- rpc.mantle.xyz
- rpc.monad.xyz
- rpc.scroll.io
- rpc.soneium.org
- rpc.soniclabs.com
- rpc.zora.energy
- scroll-rpc.publicnode.com
- sepolia-rollup.arbitrum.io
- sepolia.base.org
- sepolia.drpc.org
- sepolia.optimism.io
- sonic-rpc.publicnode.com
- unichain-rpc.publicnode.com
- worldchain-mainnet.g.alchemy.com
Los hashes, la decodificación y las comprobaciones de riesgo se ejecutan en este navegador. Solo cuando pulsas «Comprobar en la cadena» se envían la dirección del Safe y todos los campos de la transacción, calldata incluido, a un nodo RPC público de la cadena que elijas (indicado junto al botón).
Decodificador de transacciones de Ethereum
- Envía:
- un hash de transacción
- una dirección de Ethereum
- Destino:
51 servicios públicos
- 1rpc.io
- api.avax.network
- arb1.arbitrum.io
- arbitrum-one-rpc.publicnode.com
- avalanche-c-chain-rpc.publicnode.com
- base-rpc.publicnode.com
- base-sepolia-rpc.publicnode.com
- berachain-rpc.publicnode.com
- blast-rpc.publicnode.com
- bsc-dataseed.bnbchain.org
- bsc-rpc.publicnode.com
- celo-rpc.publicnode.com
- cloudflare-eth.com
- eth.drpc.org
- ethereum-hoodi-rpc.publicnode.com
- ethereum-rpc.publicnode.com
- ethereum-sepolia-rpc.publicnode.com
- forno.celo.org
- gnosis-rpc.publicnode.com
- linea-rpc.publicnode.com
- mainnet.base.org
- mainnet.era.zksync.io
- mainnet.optimism.io
- mainnet.unichain.org
- mantle-rpc.publicnode.com
- nova.arbitrum.io
- optimism-rpc.publicnode.com
- polygon-amoy-bor-rpc.publicnode.com
- polygon-bor-rpc.publicnode.com
- polygon.drpc.org
- rpc-gel.inkonchain.com
- rpc.berachain.com
- rpc.blast.io
- rpc.gnosischain.com
- rpc.hoodi.ethpandaops.io
- rpc.hyperliquid.xyz
- rpc.linea.build
- rpc.mantle.xyz
- rpc.monad.xyz
- rpc.scroll.io
- rpc.soneium.org
- rpc.soniclabs.com
- rpc.zora.energy
- scroll-rpc.publicnode.com
- sepolia-rollup.arbitrum.io
- sepolia.base.org
- sepolia.drpc.org
- sepolia.optimism.io
- sonic-rpc.publicnode.com
- unichain-rpc.publicnode.com
- worldchain-mainnet.g.alchemy.com
La decodificación se ejecuta en tu navegador. Solo cuando pulsas un botón de consulta, la página envía el hash de una transacción o la dirección del destinatario a un nodo RPC público de la red que elijas (o a tu propia URL de RPC), nunca la transacción pegada.
Decodificador de delegaciones EIP-7702
- Envía:
- una dirección de Ethereum
- Destino:
51 servicios públicos
- 1rpc.io
- api.avax.network
- arb1.arbitrum.io
- arbitrum-one-rpc.publicnode.com
- avalanche-c-chain-rpc.publicnode.com
- base-rpc.publicnode.com
- base-sepolia-rpc.publicnode.com
- berachain-rpc.publicnode.com
- blast-rpc.publicnode.com
- bsc-dataseed.bnbchain.org
- bsc-rpc.publicnode.com
- celo-rpc.publicnode.com
- cloudflare-eth.com
- eth.drpc.org
- ethereum-hoodi-rpc.publicnode.com
- ethereum-rpc.publicnode.com
- ethereum-sepolia-rpc.publicnode.com
- forno.celo.org
- gnosis-rpc.publicnode.com
- linea-rpc.publicnode.com
- mainnet.base.org
- mainnet.era.zksync.io
- mainnet.optimism.io
- mainnet.unichain.org
- mantle-rpc.publicnode.com
- nova.arbitrum.io
- optimism-rpc.publicnode.com
- polygon-amoy-bor-rpc.publicnode.com
- polygon-bor-rpc.publicnode.com
- polygon.drpc.org
- rpc-gel.inkonchain.com
- rpc.berachain.com
- rpc.blast.io
- rpc.gnosischain.com
- rpc.hoodi.ethpandaops.io
- rpc.hyperliquid.xyz
- rpc.linea.build
- rpc.mantle.xyz
- rpc.monad.xyz
- rpc.scroll.io
- rpc.soneium.org
- rpc.soniclabs.com
- rpc.zora.energy
- scroll-rpc.publicnode.com
- sepolia-rollup.arbitrum.io
- sepolia.base.org
- sepolia.drpc.org
- sepolia.optimism.io
- sonic-rpc.publicnode.com
- unichain-rpc.publicnode.com
- worldchain-mainnet.g.alchemy.com
La decodificación se ejecuta en tu navegador. Solo cuando pulsas un botón de consulta, la página envía direcciones de cuentas (los firmantes, el remitente o un contrato delegado) a un nodo RPC público de la red que elijas o a tu propia URL de RPC.
Comprobador de reutilización de nonces en Ethereum
- Envía:
- una dirección de Ethereum
- un hash de transacción
- Destino:
23 servicios públicos
- 1rpc.io
- base-sepolia-rpc.publicnode.com
- base-sepolia.blockscout.com
- cloudflare-eth.com
- eth-hoodi.blockscout.com
- eth-sepolia.blockscout.com
- eth.blockscout.com
- eth.drpc.org
- ethereum-hoodi-rpc.publicnode.com
- ethereum-rpc.publicnode.com
- ethereum-sepolia-rpc.publicnode.com
- gnosis-rpc.publicnode.com
- gnosis.blockscout.com
- mainnet.optimism.io
- optimism-rpc.publicnode.com
- optimism.blockscout.com
- rpc.gnosischain.com
- rpc.hoodi.ethpandaops.io
- rpc.scroll.io
- scroll-rpc.publicnode.com
- scroll.blockscout.com
- sepolia.base.org
- sepolia.drpc.org
Las transacciones pegadas se comprueban en tu navegador. El escaneo, que solo se inicia con su botón, envía la dirección a un explorador Blockscout y después el hash de cada transacción a un nodo RPC público de la red elegida.
Validador de tokens de ID de OIDC
- Envía:
- una URL
- Destino:
4 servicios públicos
- accounts.google.com
- appleid.apple.com
- login.microsoftonline.com
- www.googleapis.com
La validación se hace en tu navegador. Solo cuando pulsas «Cargar desde el emisor», tu navegador solicita el documento de descubrimiento público y el JWKS del proveedor, directamente al emisor indicado; el token, los códigos y los secretos nunca salen de esta página.
- Envía:
- una URL
- Destino:
- chatgpt.com
- http-message-signatures-example.research.cloudflare.com
Las comprobaciones se ejecutan en tu navegador. Solo cuando pulsas «Cargar en el navegador» tu navegador solicita el directorio de claves públicas del bot, directamente al origen indicado en Signature-Agent; la solicitud pegada nunca sale de esta página.
Verificador de bundles de Sigstore
- Envía:
- una firma
- el resumen (digest) de un archivo
- una clave pública o su huella digital
- Destino:
- ecdsa.com (nuestro servidor)
Se verifica en tu navegador: el bundle y tu archivo se quedan aquí. Solo si pulsas «Comprobar con sigstore-js» se envían a ecdsa.com el bundle y el resumen del archivo —nunca el archivo— para una segunda comprobación independiente.
Comprobador de procedencia de npm
- Envía:
- el nombre y la versión de un paquete npm
- Destino:
- registry.npmjs.org
Se verifica en tu navegador. Al pulsar Comprobar, solo se envían a registry.npmjs.org el nombre del paquete y la versión que escribes, y solo si parecen un nombre de paquete, nunca una clave o un secreto. Los ejemplos reproducen respuestas grabadas sin hacer ninguna solicitud.
- Envía:
- un nombre de dominio
- una URL
- Destino:
- ecdsa.com (nuestro servidor)
- cloudflare-dns.com
El registro BIMI se consulta desde tu navegador a través del resolvedor DNS-over-HTTPS de Cloudflare, que recibe el nombre de dominio. Las URL del certificado y del logo que indica el registro van a nuestro servidor, que descarga esos archivos públicos por ti, porque los navegadores no pueden hacerlo. Los archivos pegados se decodifican en tu navegador y no se envían a ningún sitio.
Analizador de autenticación de correo
- Envía:
- el mensaje de correo completo, con tu consentimiento
- Destino:
- ecdsa.com (nuestro servidor)
A diferencia de todas las demás herramientas de este sitio, esta envía datos a nuestro servidor: cuando das tu consentimiento y pulsas el botón, el mensaje completo va a ecdsa.com para su análisis. Se comprueba en memoria y nunca se registra, se almacena ni se guarda en caché. Sin tu consentimiento no se envía nada: el depurador de DKIM comprueba las firmas en tu navegador.
Constructor de cadena de certificados
- Envía:
- una URL
- Destino:
- ecdsa.com (nuestro servidor)
La cadena se ordena y se comprueba en tu navegador. Solo cuando pides descargar un certificado intermedio que falta, se envía a nuestro servidor la URL AIA tomada del certificado, y el servidor descarga ese certificado público por ti. Tu bundle nunca se envía y no se guarda nada.
- Envía:
- lo que indica su declaración
- Destino:
- ecdsa.com (nuestro servidor)
Solo se envían a nuestro servidor un AAGUID, un AAID de UAF o palabras del nombre de un modelo; todo lo que parezca una clave o un secreto se rechaza en tu navegador y nunca se envía. El servidor responde a partir del BLOB de metadatos que descarga de la FIDO Alliance y verifica; no se guarda nada sobre tu consulta.
El analizador de autenticación de correo es la única herramienta que envía contenido privado: el mensaje completo que pegas. No envía nada hasta que marcas su casilla de consentimiento y pulsas el botón. El mensaje se analiza en memoria en nuestro servidor y nunca se registra, se almacena ni se guarda en caché; las consultas DNS que necesita el análisis van al servicio DNS over HTTPS de Cloudflare. Para que un mensaje se quede en tu dispositivo, el depurador de DKIM comprueba sus firmas en tu navegador.
Comprobaciones en nuestro servidor y la API pública
Algunas comprobaciones se ejecutan en nuestro servidor porque un navegador no puede hacerlas: abrir una conexión TLS con un dominio, descargar un archivo de un servidor que no lo permite, leer la huella digital de tu propia conexión. En cada caso, nuestro servidor recibe lo que introduces junto con la propia solicitud.
- Los informes de dominios (Signature Health de dominios), las insignias para README, el comprobador masivo de dominios y la operación health de la API se conectan al dominio que indicas y guardan el informe en una caché compartida durante 60 minutos: cualquiera que pregunte por el mismo dominio en ese tiempo obtiene el mismo informe. Un informe describe un host público, no a ti.
- El comprobador de JWKS y OIDC, el constructor de cadena de certificados y el decodificador de BIMI hacen que nuestro servidor descargue la URL pública que indicas, o una que figura en tu certificado o en tu registro DNS. Los certificados, las listas de revocación y los archivos BIMI descargados se guardan en caché por URL, sin ningún vínculo contigo.
- El comprobador de reutilización de nonces envía la dirección de Bitcoin a nuestro servidor, que pide sus transacciones a mempool.space, de modo que mempool.space ve nuestro servidor y no a ti.
- Las búsquedas de claves débiles, la segunda comprobación de Sigstore y las búsquedas de AAGUID se responden en memoria con datos que nuestro servidor ya tiene, y la huella TLS, a partir de tu propia conexión; no se guarda nada sobre estas solicitudes.
- Los cuerpos de las solicitudes nunca se guardan y nunca se escriben en los registros. Nuestro código solo registra errores y eventos operativos, con las direcciones de correo enmascaradas (a***@e***.com) y las claves de API recortadas a su identificador público.
- Para aplicar los límites de frecuencia, el servidor cuenta las solicitudes por dirección IP (por red /64 en IPv6, en algunos formularios) en la memoria de la instancia que responde, durante la ventana del límite: un minuto o una hora. Estos contadores no se escriben en la base de datos.
- La API pública y su servidor MCP rechazan las claves privadas antes de procesar nada y nunca registran los cuerpos de las solicitudes. El uso se cuenta por día y por operación para cada clave de API, o como «anónimo» para las llamadas sin clave. La tabla de uso no tiene ninguna columna para una dirección IP, y la base de datos se niega a guardarla en ella.
- Como cualquier visita, estas solicitudes pasan por Vercel, que aloja el sitio; consulta quién trata datos por cuenta nuestra.
Boletín, alertas de certificados y lista de espera
Estos formularios guardan la dirección de correo que introduces, con doble confirmación: hasta que abras el enlace del correo de confirmación, la dirección no recibe nada más que correos de confirmación. Nuestros correos se envían a través de Resend.
Boletín. Tu dirección, el idioma de la página, dónde estaba el formulario (por ejemplo, al final de un artículo), las fechas de suscripción y de confirmación, y la fecha en que se te envió el último número. Cada número incluye un enlace para cancelar la suscripción con un clic; al cancelarla se elimina el registro.
Alertas de caducidad de certificados. Tu dirección, el dominio, el idioma de la página y las fechas de suscripción y de confirmación, además de lo que necesitan las alertas: la fecha de caducidad del certificado y cuál fue la última alerta enviada. Una vez al día, nuestro servidor comprueba el certificado del dominio y te envía un correo cuando faltan 30, 14, 7, 3 y 1 días para que caduque. Cada alerta incluye un enlace para cancelar la suscripción que elimina el registro.
Lista de espera de los planes de pago. Tu dirección, el plan, el número de dominios, tu respuesta a «¿Qué necesitas?», el idioma de la página, dónde estaba el formulario, las fechas de inscripción y de confirmación y —si tenías la sesión iniciada con la misma dirección— un vínculo con tu cuenta. Usamos estos datos para avisarte cuando el plan esté disponible y para decidir qué construir. Una solicitud que nadie confirma se elimina 7 días después del último correo de confirmación; el enlace de nuestros correos te saca de la lista de espera y elimina la solicitud.
Si una suscripción al boletín o a las alertas nunca se confirma, no recibe nada más que su correo de confirmación; el enlace funciona durante 7 días y, después, la suscripción se elimina.
Para evitar abusos, cada formulario acepta como máximo 10 solicitudes por hora desde una misma red y para una misma dirección, contadas en la memoria del servidor, y la lista de espera envía como máximo un correo por dirección y plan cada 10 minutos.
Cuentas, claves de API y monitorización
Las cuentas aún no están abiertas. Esta sección describe cómo funcionan una vez abiertas; hasta entonces, no se recoge ninguno de estos datos.
Inicio de sesión
La cuenta es opcional. Inicias sesión con un enlace que te enviamos por correo —funciona una sola vez, durante 15 minutos, y solo guardamos un hash SHA-256 de él— o, donde se ofrezca, con GitHub. Al iniciar sesión con GitHub, solo se pide a GitHub tu dirección de correo verificada (el ámbito user:email). Guardamos tu ID de usuario de GitHub para reconocerte; no guardamos el token de acceso de GitHub ni tu avatar.
Qué guarda una cuenta
- Tu dirección de correo, un nombre opcional de hasta 80 caracteres y el idioma de nuestros correos.
- Por cada sesión: un token aleatorio (la cookie lo lleva con una firma), la red desde la que iniciaste sesión —tu dirección IP recortada a su /24 en IPv4 o a su /48 en IPv6— y el agente de usuario de tu navegador, hasta 512 caracteres. Una sesión dura 30 días y se prolonga como máximo una vez al día mientras la usas; las sesiones caducadas se eliminan.
- Contadores de solicitudes de inicio de sesión por red y por dirección, guardados como un hash con clave (HMAC) en lugar de la dirección y eliminados cuando termina su ventana.
Claves de API
Una clave de API se muestra una sola vez, al crearla. Guardamos su identificador público, su nombre, su modo y sus ámbitos, cuándo se creó, se usó por última vez, caduca o se revocó, sus últimos 4 caracteres y un hash HMAC-SHA-256 de su secreto, nunca la clave en sí. Las claves revocadas permanecen en tu lista hasta que elimines la cuenta. Los contadores de uso diario se conservan por clave y operación; no se eliminan con la cuenta, pero, una vez eliminada la clave, no apuntan a nadie.
Monitorización
Los monitores guardan los dominios y las URL de conjuntos de claves (JWKS u OIDC) que añades, su configuración, los hallazgos de las últimas comprobaciones y un historial de comprobaciones de 30 días. Los dominios se comprueban cada 6 horas y los conjuntos de claves, cada 2 horas, mediante conexiones a esos hosts públicos. Se avisa de un certificado 30, 14, 7 y 1 días antes de que caduque.
Las alertas y un resumen semanal se envían a la dirección de tu cuenta; el resumen incluye un enlace para cancelar la suscripción con un clic. Si conectas Slack, la URL del webhook entrante se cifra con AES-256-GCM con una clave que la base de datos no contiene, y nunca se vuelve a mostrar: solo se muestran sus últimos 4 caracteres. Si añades endpoints de webhook, guardamos su URL, su descripción y sus eventos, y un registro de cada entrega (el evento, su contenido, el estado, los intentos y el último error) hasta que elimines el endpoint o la cuenta. Las entregas se firman y se intentan hasta 7 veces.
Cuando la comprobación de certificados nuevos está activada, los dominios de tus monitores se envían a la API Cert Spotter de SSLMate. Sus respuestas son datos públicos de Certificate Transparency: se guardan en caché sin ningún vínculo contigo y se eliminan cuando pasan 30 días sin que ninguna comprobación las use.
Exportación y eliminación
La página de la cuenta muestra tus datos y los descarga todos como un archivo JSON; se omiten los secretos, como los tokens de sesión y los hashes de las claves. Para eliminar la cuenta, tienes que haber iniciado sesión en los últimos 60 minutos. Esto elimina de inmediato tu perfil, las sesiones, los métodos de inicio de sesión, el plan, las claves de API, los monitores con su historial, la configuración de notificaciones, los endpoints de webhook con sus entregas y las solicitudes de lista de espera vinculadas a la cuenta. Las suscripciones al boletín y a las alertas son independientes: sus correos incluyen sus propios enlaces para cancelar la suscripción.
Estadísticas
Contamos las visitas con Vercel Web Analytics y medimos la velocidad de carga de las páginas con Vercel Speed Insights. Ninguno de los dos instala cookies.
- Antes de enviar nada, la dirección de la página se recorta a su ruta: por esta vía no sale de tu navegador ninguna cadena de consulta (como un término de búsqueda) ni ningún fragmento (como el estado de una herramienta compartida).
- Además de las visitas a páginas, el sitio solo informa de los eventos que se enumeran abajo, cada uno con valores de un conjunto fijo o con el nombre de la herramienta de la página. Nunca contienen lo que escribes.
Eventos
- Omnibox open
- Search open
- Share
- Tool verdict
- Subscribe
- Badge copy
- Con cada visita a una página o evento, Web Analytics registra la hora, la página, la página de referencia, tu navegador, tu sistema operativo y tu tipo de dispositivo, y tu ubicación aproximada derivada de la dirección IP, con precisión de ciudad; distingue las visitas con un hash de la solicitud que descarta al cabo de 24 horas. Speed Insights registra la página, sus tiempos de carga, la velocidad de la red, tu navegador, tu sistema operativo y tu tipo de dispositivo, y tu país. Ninguno de los dos servicios te identifica (Web Analytics, Speed Insights).
- Bloquear estos scripts en tu navegador no afecta a ninguna función del sitio.
Quién trata datos por cuenta nuestra
Estos proveedores tratan datos por cuenta nuestra, solo para los fines que se indican aquí.
| Proveedor | Qué hacen | Dónde |
|---|---|---|
| Vercel | Alojamiento, funciones de servidor, tareas programadas, la caché, Web Analytics y Speed Insights. Vercel recibe todas las solicitudes, incluidos tu dirección IP y los encabezados de tu navegador, y conserva los registros de solicitudes durante un tiempo limitado. | Funciones de servidor en Washington, D.C., EE. UU. (región iad1); las páginas se sirven desde la red global de Vercel. |
| Neon | La base de datos: suscripciones, la lista de espera y, cuando estén abiertas, las cuentas, las claves de API y los monitores. | Región de AWS us-east-1 (Virginia del Norte, EE. UU.). |
| Resend | Envío de nuestros correos: confirmaciones, alertas, enlaces de inicio de sesión y resúmenes. | Región us-east-1 (EE. UU.). |
| GitHub | Inicio de sesión con GitHub, solo si lo eliges. | EE. UU. |
| Slack | Alertas de monitorización, solo si conectas un webhook entrante de Slack. | Donde esté alojado tu espacio de trabajo de Slack. |
| SSLMate Cert Spotter | Búsquedas de Certificate Transparency para los dominios de los monitores, cuando esa comprobación está activada. | Los servidores de SSLMate. |
| Cloudflare | DNS over HTTPS para los nombres de dominio de un mensaje que envías al analizador de autenticación de correo. | La red global de Cloudflare. |
Los servicios con los que las herramientas contactan directamente desde tu navegador (resolutores DNS públicos, nodos de blockchain, proveedores de identidad) y las fuentes públicas de las que nuestro servidor descarga datos a petición tuya (mempool.space, el servicio de metadatos de la FIDO Alliance, los hosts que nos pides comprobar) no son nuestros encargados del tratamiento. Actúan conforme a sus propias condiciones, y los que reciben conexiones desde tu navegador lo ven como ven cualquier visita.
Datos fuera de tu país
Tenemos nuestra sede en los Emiratos Árabes Unidos, y los proveedores indicados arriba tratan datos en Estados Unidos y en otros lugares. Si usas el sitio desde la Unión Europea, el Reino Unido u otro país con normas sobre transferencias de datos, tus datos se transfieren, por tanto, a países cuyas leyes pueden protegerlos menos que las del tuyo. Las condiciones de tratamiento de datos de los proveedores describen las garantías que aplican a esas transferencias; escribe a privacy@ecdsa.com para obtener las referencias.
Cuánto tiempo conservamos los datos
| Datos | Conservación |
|---|---|
| Suscripción al boletín | Hasta que canceles la suscripción. Una suscripción sin confirmar, hasta 7 días después del último correo de confirmación. |
| Suscripción a las alertas de certificados | Hasta que canceles la suscripción. Una suscripción sin confirmar, hasta 7 días después del último correo de confirmación. |
| Solicitud de lista de espera | Hasta que salgas de la lista de espera o elimines la cuenta vinculada. Una solicitud sin confirmar, hasta 7 días después del último correo de confirmación. |
| Perfil de la cuenta y métodos de inicio de sesión | Hasta que elimines la cuenta. |
| Sesiones | 30 días después de su última prolongación; luego se eliminan. |
| Enlaces de inicio de sesión | Hasta que se usen, como máximo 15 minutos; luego se eliminan. |
| Claves de API, incluidas las revocadas | Hasta que elimines la cuenta. |
| Contadores de uso de la API (sin dirección IP) | Se conservan como estadísticas; una vez eliminada una clave, sus contadores no apuntan a nadie. |
| Monitores, configuración de notificaciones, endpoints de webhook y entregas | Hasta que los elimines o elimines la cuenta. |
| Historial de comprobaciones de los monitores | 30 días. |
| Contadores de límites de frecuencia | De un minuto a una hora, en la memoria del servidor. Los contadores de inicio de sesión, en la base de datos hasta que termine su ventana. |
| Informes sobre hosts públicos y archivos públicos descargados | Se guardan en caché sin ningún vínculo contigo y se actualizan al cabo de una hora, al cabo de un día o cuando la fuente publica una nueva versión. |
| Registros de solicitudes y de errores | Durante el tiempo limitado que Vercel los conserva. |
Los datos eliminados pueden permanecer en el historial de restauración a un momento dado (point-in-time restore) del proveedor de la base de datos hasta que ese historial se haya renovado.
Bases jurídicas
Cuando sea aplicable el Reglamento General de Protección de Datos (RGPD) u otra ley similar, nos amparamos en estas bases jurídicas:
- Proporcionarte lo que solicitas (art. 6.1.b del RGPD): las comprobaciones que inicias, tu cuenta, las claves de API y los monitores, y los correos que envían.
- Tu consentimiento (art. 6.1.a): el boletín, las alertas de certificados y la lista de espera, que confirmas por correo, y el análisis de correo, para el que marcas la casilla.
- Nuestros intereses legítimos (art. 6.1.f): proteger el sitio y los servidores de terceros con límites de frecuencia y registros, y las estadísticas sin cookies que muestran qué páginas son útiles.
Tus derechos
Según dónde vivas, la legislación de protección de datos te concede los derechos que se indican a continuación. Así puedes ejercerlos:
- Acceso y portabilidad. La página de la cuenta descarga los datos de tu cuenta en formato JSON. Para las suscripciones y la lista de espera, pídenoslo.
- Rectificación. Cambia tu nombre y el idioma de nuestros correos en la página de la cuenta; para cualquier otra cosa, pídenoslo. La dirección de una cuenta no se puede cambiar: elimina la cuenta e inicia sesión con la nueva dirección.
- Supresión. Elimina la cuenta en la página de la cuenta. El enlace de cada correo del boletín, de las alertas y de la lista de espera elimina esa suscripción. Para cualquier otra cosa, pídenoslo.
- Oposición y limitación. Puedes oponerte al tratamiento basado en nuestros intereses legítimos, como las estadísticas, y pedirnos que limitemos el tratamiento mientras haya abierta una cuestión sobre él.
- Retirada del consentimiento. Cancela la suscripción o sal de la lista de espera en cualquier momento; esto no afecta a lo que se haya hecho antes.
- Reclamación. Puedes presentar una reclamación ante la autoridad de protección de datos del país donde vives o trabajas, o de aquel donde crees que surgió el problema.
Escribe a privacy@ecdsa.com desde la dirección a la que se refiere la solicitud, o dinos cómo podemos confirmar que es tuya. Respondemos en el plazo de un mes. Si una solicitud es compleja, podemos necesitar hasta dos meses más y te diremos el motivo dentro del primer mes.
Menores
ecdsa.com es un sitio para desarrolladores e ingenieros de seguridad y no está dirigido a menores. No uses sus formularios ni crees una cuenta si tienes menos de 16 años. Si crees que un menor nos ha dado su dirección de correo, escribe a privacy@ecdsa.com y la eliminaremos.
Cómo se protegen los datos
El sitio se sirve solo por HTTPS. Los secretos se guardan de forma que, si se copian, no sirven de nada: los enlaces de inicio de sesión como hashes SHA-256, las claves de API como hashes HMAC-SHA-256 con una clave guardada fuera de la base de datos, la cookie de sesión con una firma y la URL del webhook de Slack cifrada. Las tablas de cuentas no permiten en absoluto guardar tokens de GitHub ni contraseñas.
Cambios en esta política
Cuando cambiamos esta política, publicamos el nuevo texto aquí y actualizamos la fecha de la parte superior. Si un cambio afecta a datos que ya nos has proporcionado, lo indicamos en esta página antes de que se aplique.
Contacto
Correo electrónico: privacy@ecdsa.com. Correo postal: KeepFlow L.L.C-FZ, Meydan Grandstand, 6th floor, Meydan Road, Nad Al Sheba, Dubai, U.A.E.
Léela junto con las Condiciones de uso.
Este texto está redactado en inglés. Si se ofrece una traducción, prevalece el texto en inglés allí donde ambos difieran.