Sırdaş procesa tus archivos dentro de tu navegador. Eso cambia la conversación sobre seguridad: no hay servidor que proteger, ni base de datos que cifrar, ni copia de seguridad que perder. Lo que sí hay son estándares que dicen cómo se construye una aplicación así, y aquí está cuáles seguimos y cómo comprobarlo.
De todas las normas posibles elegimos una y la seguimos de verdad: el Application Security Verification Standard de OWASP. No es una norma de organización, es una lista de requisitos verificables sobre una aplicación concreta — que es exactamente lo que somos.
OWASP ASVS, nivel 1
ISO/IEC 27002 es el catálogo de controles al que remite ISO/IEC 27001. Estos son los controles concretos que tienen sentido para una aplicación que no guarda nada, con lo que hacemos en cada uno y cómo se comprueba. Los controles de organización (personal, instalaciones, proveedores, continuidad) no aplican a un sitio estático y no vamos a fingir que sí.
El sitio se sirve con una Content-Security-Policy que incluye connect-src 'self'. El navegador bloquea cualquier envío a un servidor externo, aunque el código quisiera hacerlo.
Cómo se comprueba: Mira las cabeceras de respuesta en el inspector, pestaña Red.
Cédulas, NIT, nombres, correos, teléfonos, direcciones y fechas se sustituyen por marcadores consistentes antes de que copies el texto a una IA. El mismo valor siempre por el mismo marcador.
Cómo se comprueba: Suelta un documento en PDF a Markdown y mira la lista de hallazgos.
No hay eliminación que programar: el archivo nunca se escribe en ningún disco nuestro. Al cerrar la pestaña, la memoria del navegador se libera y no queda copia.
Cómo se comprueba: Ningún competidor que procese en servidor puede decir esto; ellos prometen borrar en una o dos horas.
HTTPS obligatorio con HSTS en todo el sitio. No ciframos tus documentos porque no los transportamos: no hay tránsito que proteger.
Cómo se comprueba: El candado del navegador, y la cabecera Strict-Transport-Security.
La promesa de no subir archivos está escrita como prueba automática: si alguien introdujera una llamada de red a otro dominio en el código de PDF, la prueba falla y no se publica.
Cómo se comprueba: El archivo test/no-network.test.ts en el repositorio.
TypeScript en modo estricto, sin any implícitos. Los errores se clasifican y se traducen a un mensaje que explica qué pasó, en vez de tragárselos.
Cómo se comprueba: El código es público en el repositorio.
Las dependencias se fijan a una versión y se sirven desde nuestro dominio. Nada se carga desde una CDN de terceros, ni siquiera el modelo de OCR, que pesa 11 MB y está alojado aquí.
Cómo se comprueba: Busca cualquier dominio externo en la pestaña Red: no hay.
El tratamiento de datos personales ocurre en tu dispositivo, bajo tu control. Nosotros no somos responsables del tratamiento del contenido de tus documentos porque nunca lo recibimos.
Cómo se comprueba: Apaga el WiFi y sigue usando la herramienta.
Estas son afirmaciones sobre cómo está construida la aplicación, no certificaciones. Se sostienen porque no hay tratamiento en servidor.
Para que quede por escrito, y para que puedas exigírnoslo:
Cuéntanoslo abriendo una incidencia en el repositorio, o escríbenos antes de publicarlo si crees que puede afectar a alguien. Respondemos, y lo arreglamos.