Cómo usar Make Auditor

Make Auditor revisa cómo una página web o un SaaS trata los datos personales de quienes lo visitan. Funciona como una lupa con 14 motores independientes: cada uno revisa un tema (cookies, rastreadores, aviso de privacidad, llaves expuestas…) y da su propio veredicto.

Después, un consejo de tres modelos de inteligencia artificial lee el aviso de privacidad, y un motor normativo traduce todo a lo que exige la ley de cada país donde vendes, con la fuente oficial de cada requisito.

También puede leer el código de tu proyecto (un repositorio de GitHub o un ZIP) con 7 motores de código, para encontrar lo que desde la URL no se ve: llaves subidas por error, tablas sin protección, paquetes con fallas conocidas o datos que se mandan a la IA.

Sirve para revisar tu propio producto antes de publicarlo, el de un cliente o uno que piensas contratar.

1. 1

   Escribe la dirección

   En la portada, pega la URL del sitio o SaaS (por ejemplo, https://mi-saas.com).

2. 2

   Elige los países

   Marca contra qué leyes quieres revisar. Por defecto vienen la Unión Europea y México. Con «+ Otro país» puedes agregar cualquiera de los 243 países. Los marcados con punto tienen catálogo con artículos concretos.

3. 3

   Indica la categoría (opcional)

   Si tu SaaS es de salud, finanzas, educación, menores, IA u otra categoría con reglas propias, elígela. Si no, la detectamos solos.

4. 4

   Pulsa «Auditar»

   Si no tienes cuenta, te pedimos tu correo: si ya existe, entras con tu contraseña; si no, la creas en el momento. Una sola entrada para todo.

5. 5

   Espera de 30 segundos a 2 minutos

   La pantalla te muestra el avance. Puedes dejarla abierta; el informe aparece solo al terminar.

El número grande (por ejemplo «4/12») dice cuántos motores encontraron indicios de los que aplican a tu caso. La barra de colores tiene un segmento por motor; puedes pulsarlo para ir a su detalle.

Debajo están las pestañas:

• Hallazgos: cada motor con sus resultados, la evidencia y qué hacer. Cada hallazgo dice si es «evidencia directa» o «heurística».
• Normativa: cada requisito de ley por país, con su artículo y enlace oficial, y si hay indicio, no hay indicios o no se puede verificar.
• Terceros: las empresas que reciben datos al cargar la página, su país y si necesitan consentimiento.
• Comportamiento: qué pasa al entrar sin tocar nada y qué pasa al pulsar «Rechazar».
• Detalles: cookies, conexión segura, cabeceras y formularios.
• Consejo de IA: el resumen, las prioridades y cómo votó cada modelo.

La cobertura indica qué parte de la ley se pudo revisar desde la URL. Por ejemplo, «18 de 46 requisitos se comprueban desde la URL» significa que el resto necesita revisar el sistema por dentro.

La auditoría por URL ve lo que ve un visitante. La auditoría de código ve cómo está hecho por dentro. Lo ideal es hacer las dos: la URL demuestra lo que pasa en el navegador y el código muestra lo que pasa en el servidor y en la base de datos.

1. 1

   Abre la pestaña «Repositorio»

   En la portada, junto a «Sitio web».

2. 2

   Pega el repositorio o sube un ZIP

   Si el repositorio de GitHub es público, pega su dirección (por ejemplo, https://github.com/tu-usuario/tu-proyecto). Si es privado, comprime la carpeta del proyecto en ZIP (hasta 4 MB) y súbelo. Antes de comprimir, quita node_modules, .next, dist y las imágenes o videos pesados.

3. 3

   Elige países y categoría

   Igual que en la auditoría por URL.

4. 4

   Pulsa «Auditar código»

   Suele tardar menos de un minuto.

Estos son los 7 motores de código:

El informe de código tiene las pestañas Hallazgos (con archivo y línea de cada problema), Normativa, Dependencias (los paquetes con fallas conocidas según la base pública OSV, y los servicios de terceros que usa tu proyecto) y Detalles.

Tu código no se guarda. Se lee en memoria como texto, sin ejecutarlo, y se descarta al terminar. Solo quedan los hallazgos: el archivo, la línea y un extracto corto con las llaves enmascaradas. A la base de vulnerabilidades solo se le envían nombres y versiones de paquetes. Por eso un ZIP no se puede «volver a auditar»: hay que subirlo de nuevo.

Lo que el código tampoco muestra: la configuración de producción (variables de entorno, reglas aplicadas en la base), el historial de git (una llave borrada puede seguir en commits viejos) y los contratos. La prueba definitiva de que cada persona solo ve sus datos es intentarlo con dos cuentas.

La revisión legal se arma por capas, para que ningún país se quede sin auditoría:

1. Catálogo detallado con artículos concretos: Unión Europea, España, México, Brasil, Argentina, Colombia, Chile, Perú, Uruguay y Ecuador.
2. Plantilla por familia de leyes para el resto (RGPD, Reino Unido, Latinoamérica, Estados Unidos, Canadá, Asia-Pacífico, África y Medio Oriente), con el nombre de la ley y la autoridad de cada país.
3. Principios internacionales (OCDE e ISO/IEC 29100) para países sin ley de datos personales.

Además, detectamos solos hacia qué países apunta el sitio: por su dominio (.mx, .es…), su idioma, su moneda, sus teléfonos y las leyes que cita su aviso. Esos países se suman y el informe dice por qué.

Importante: el RGPD europeo también aplica a empresas de fuera de la UE que venden a personas en Europa. Por eso conviene incluir la UE aunque tu empresa esté en Latinoamérica.

Algunos sectores tienen reglas extra. Al elegir (o detectar) la categoría, se suman sus normas:

Ejemplo: en un SaaS de salud, un píxel de publicidad es mucho más grave que en una tienda de ropa, y el informe lo marca así.

Tres modelos de inteligencia artificial de laboratorios distintos leen el aviso de privacidad en tres pasos:

1. Opinan por separado sobre cada punto del aviso (responsable, finalidades, derechos…).
2. Se revisan entre sí, sin saber quién dijo qué, solo en los puntos donde no coinciden.
3. Un presidente redacta el resumen y las prioridades, sin poder cambiar los veredictos.

Para evitar inventos: un modelo solo puede decir que algo «cumple» si copia una frase literal del aviso, y comprobamos que esa frase exista. Además hacen falta al menos dos votos para dar algo por cumplido.

El consejo usa saldo de OpenRouter. Si no hay saldo, el informe sale igual con los 14 motores y lo avisa.

Una auditoría desde la URL demuestra problemas cuando los encuentra, pero no demuestra que todo esté bien cuando no los encuentra. Desde fuera no se ven:

• La base de datos, el cifrado y si cada persona solo ve sus propios datos.
• Lo que hay detrás del inicio de sesión: borrado real de cuentas, exportación de datos.
• El rastreo que se hace desde el servidor, sin pasar por el navegador.
• Los contratos con proveedores, el registro de actividades y las evaluaciones de impacto.

También influye desde dónde se escanea: muchos sitios europeos solo muestran su banner a visitantes de Europa. El informe indica la ubicación del escaneo.

• Solo guardamos tu nombre, tu correo y las auditorías que hagas. No usamos cookies de publicidad ni de analítica.
• Cada informe se puede descargar en JSON desde su página.
• En Configuración → Eliminar mi cuenta borras tu cuenta y todos tus datos tú mismo, escribiendo ELIMINAR para confirmar. Solo queda un registro anónimo de que una cuenta se eliminó, sin tu nombre ni tu correo.
• Los informes son privados: solo tú puedes verlos.

Detalles en el aviso de privacidad y los términos.

Indicio

Señal de un posible incumplimiento. No es un dictamen legal: es algo que conviene revisar.

Evidencia directa

Un hecho observado: una cookie que se instaló, una petición que salió, una llave visible.

Heurística

Una deducción por patrones (palabras clave, forma de un banner). Conviene confirmarla.

Banner de consentimiento

El aviso que pregunta si aceptas cookies. En la UE debe dejar rechazar igual de fácil que aceptar.

Rastreador

Código de un tercero (publicidad, analítica, redes sociales) que registra lo que haces en la página.

Huella digital

Técnica para reconocer tu navegador sin cookies, midiendo detalles de tu equipo.

Global Privacy Control (GPC)

Señal que manda el navegador para decir «no vendan ni compartan mis datos». En California es obligatorio respetarla.

Encargado

Empresa que trata datos por cuenta del sitio (hosting, correo, IA). Debe tener contrato y figurar en el aviso.

Transferencia internacional

Cuando los datos salen hacia otro país. Algunas leyes exigen garantías.

Cobertura

Qué parte de la ley se puede comprobar desde la URL y qué parte necesita acceso al sistema.

Dependencia

Un paquete de código de otra persona que tu proyecto usa (por ejemplo, next o react). Si tiene una falla conocida, tu proyecto la hereda.

Lockfile

Archivo (package-lock.json, pnpm-lock.yaml…) que fija la versión exacta de cada dependencia para que todas las instalaciones sean iguales.

RLS

Seguridad a nivel de fila: regla de la base de datos (por ejemplo, en Supabase) que hace que cada persona solo pueda leer sus propias filas.

Variable pública

Variable con prefijo NEXT_PUBLIC_, VITE_ u otro similar: su valor se copia al navegador, así que nunca debe guardar un secreto.