Seguridad: lo que hacemos contra el phishing por código QR

Un código QR dinámico es una redirección. Como cualquier acortador de enlaces, se puede usar para llevar a la gente a un sitio engañoso. Esto es exactamente lo que hace Scanolo para impedirlo, y lo que no podemos garantizar.

Verificación de los destinos

Cada dirección de destino se analiza al crear el código, en cada modificación, y luego con regularidad mientras el código esté activo. El análisis combina reglas propias y una consulta a listas de sitios maliciosos.

• Direcciones en IP directa, dominios con caracteres engañosos (punycode), cadenas de acortadores, puertos inusuales: se marcan como dudosos
• Palabras clave de credenciales (inicio de sesión, contraseña, banco) en un dominio desconocido: se marcan como dudosos
• Dominio presente en listas de sitios maliciosos: se bloquea
• Solo se aceptan http y https como destinos

Lo que ve la persona que escanea

Un enlace verificado redirige de inmediato. Un enlace dudoso muestra una página intermedia que indica el dominio de destino y deja elegir si continuar. Un enlace bloqueado muestra una página de aviso sin enlace en el que hacer clic. En todos los casos, un botón permite denunciar el código.

Lo que no almacenamos

Los escaneos se cuentan sin cookie y sin identificador personal. La dirección IP sirve para calcular un contador de visitantes únicos por día en forma de huella no reversible, y no se conserva en claro.

Seguridad de la cuenta

Contraseñas con hash Argon2, sesiones cifradas en el servidor, lista de sesiones activas con posibilidad de revocarlas, confirmación por email para eliminar la cuenta, claves de API que se muestran una sola vez y se guardan con hash.

Límites

Ninguna verificación automática es perfecta. Un sitio sano en el momento del control puede volverse malicioso después; por eso los controles se repiten y existe la denuncia pública. No garantizamos la ausencia total de abusos, garantizamos actuar rápido cuando se detecta o se denuncia uno.