Fuera de los buscadores, salvo que tú lo decidas

Todo sitio que publicas empieza como no listado. Cualquiera a quien le envíes el enlace puede abrirlo, y cada archivo que sirve les dice a los buscadores que no lo indexen. La única opción que permite encontrar un sitio es Público, y un sitio solo es público cuando alguien lo eligió.

Fuera de los buscadores por defecto

Un sitio nuevo es no listado llegue como llegue: pegado, subido, una carpeta, un PDF, desde Claude o ChatGPT, desde la API o sin cuenta. Un sitio que creas en Describir empieza como privado, porque todavía no lo has visto. En un espacio de trabajo del plan Team, un sitio empieza como lo hayan elegido los administradores del espacio de trabajo: solo el equipo, mientras no lo cambien.

Cada respuesta de un sitio que no es público lleva esta cabecera:

x-robots-tag: noindex, nofollow

Una cabecera y no una etiqueta dentro de la página, porque la cabecera va con cada archivo: las páginas, y también los PDF y las imágenes, que no tienen dónde llevar una etiqueta. La página del sitio en solta.now dice lo mismo con una metaetiqueta robots. Puedes comprobarlo en cualquiera de tus sitios con curl -I y su enlace.

Además, nada apunta a un sitio no listado. No está en tu perfil ni en ningún mapa del sitio, y nada en Solta enlaza a él. Los buscadores que siguen el estándar, entre ellos Google y Bing, dejan esas páginas fuera de sus resultados.

Pero no listado no quiere decir secreto. Cualquiera con el enlace puede abrirlo y reenviarlo. Para que un sitio sea solo para ciertas personas, ponle una puerta delante.

Quién puede abrir un sitio

Público

Cualquiera. Los buscadores pueden indexarlo, y puede aparecer en tu perfil. En todos los planes.

No listado

Cualquiera con el enlace, y se pide a los buscadores que no lo indexen. Así empiezan los sitios nuevos. En todos los planes.

Privado

Solo tú, y quien pueda editarlo o aprobarlo. En todos los planes.

Con contraseña

Una contraseña antes de que cargue nada. 1 sitio a la vez en Free, 5 en Plus y todos los que quieras en Pro y Team.

Invitados

Solo las direcciones que invites. Cada una lo confirma una vez por correo, sin cuenta. En los planes Pro y Team.

Solo tu equipo

Todas las personas de tu espacio de trabajo, y nadie más. En el plan Team.

En los planes Pro y Team, un sitio público o no listado también puede pedir un correo antes de abrirse, y comprobarlo con un código de un solo uso. Puedes cambiar quién puede abrir un sitio cuando quieras, en sus ajustes. Más sobre cada opción.

Contraseñas y las otras puertas

La contraseña de un sitio se guarda como un hash scrypt, con una sal aleatoria propia, y se comprueba en tiempo constante. No podemos leerla. Quitarle la contraseña a un sitio borra el hash, así que para volver a ponérsela hace falta una contraseña nueva.

La comprobación llega antes de que el sitio envíe nada: ni una página, ni un archivo, ni un PDF. Quien visita sin pase va a solta.now a escribir la contraseña, nunca a una página que ejecute el código del propio sitio. Después de diez intentos en un minuto, el siguiente tiene que esperar.

La contraseña correcta da un pase solo para ese sitio, firmado por Solta, en una cookie que los scripts del sitio no pueden leer, durante 12 horas. El pase de un sitio no abre ningún otro. Invitados funciona igual una vez confirmado el correo, y Privado y Solo tu equipo, después de iniciar sesión en Solta.

Un sitio detrás de cualquier puerta no se puede mostrar dentro de un marco en otra web. La puerta necesita una página propia.

Dos dominios, a propósito

El producto está en solta.now. Los sitios publicados están en solta.site, y cada sitio tiene allí su propio subdominio, o va en un dominio tuyo.

No es un detalle estético. Un sitio publicado es código que escribió otra persona, y se ejecuta en tu navegador. En su propio origen no puede leer tu sesión de Solta, ni el almacenamiento de otro sitio, ni actuar en tu nombre. Eso lo impone el navegador, no nosotros.

Los campos de contraseña de los sitios con puerta están siempre en solta.now, nunca en el origen que sirve el JavaScript de otra persona.

Qué puede hacer un sitio publicado

Cada sitio se sirve con una política de seguridad de contenido. Los scripts solo se cargan desde el propio sitio, desde Solta, desde esm.sh y desde los servidores de bibliotecas de cdnjs, jsDelivr, unpkg, Tailwind y jQuery; en los planes Plus, Pro y Team, también desde una lista concreta de servicios de estadísticas y de chat. Un sitio abierto se puede mostrar en un marco en cualquier web, o solo en los dominios que indique su dueño.

Solta sirve archivos estáticos. No hay ningún servidor ejecutando tu código, y eso elimina toda una categoría de problemas: no hay shell, ni sistema de archivos, ni credenciales que robar.

Antes de servir nada

Cada versión se revisa antes de quedar en línea, en busca de secretos que se quedaron en el archivo por descuido, de sitios que recogen credenciales, de mineros de criptomonedas y de código ofuscado. Lo que las comprobaciones no pueden decidir pasa a una persona, en lugar de publicarse sin más.

Si pegas una clave de API, rechazamos el archivo y te decimos dónde está. Preferimos molestarte a publicarla.

Estadísticas sin cookies

Las estadísticas de un sitio no ponen ninguna cookie y no guardan nada sobre ningún visitante en concreto. Para distinguir un visitante de dos, calculamos un hash de la dirección IP y el navegador de quien visita con un secreto que cambia cada día, lo mantenemos en memoria hasta que termina el día y solo anotamos los totales: tantos desde Portugal, tantos en móviles, nunca las dos cosas juntas.

Los números se guardan en todos los planes. En Free se ven los últimos 7 días, en Plus los últimos 90, en Pro el último año y en Team todo, así que al subir de plan ves el pasado al instante, y al bajar de plan se oculta en lugar de borrarse. Qué se cuenta.

Denuncias y retiradas

Cada sitio tiene un botón para denunciarlo en su página de Solta, y cualquiera puede denunciar cualquier dirección en solta.now/report, sin cuenta. Una persona lee cada denuncia, y procuramos decidir en un plazo de 24 horas. Cuando retiramos algo, explicamos por qué a quien lo publicó y a quien lo denunció, y cualquiera de los dos puede pedirnos que lo revisemos de nuevo.

Los administradores de Solta pueden abrir cualquier sitio, también los privados y los que tienen contraseña, para revisar una denuncia o una decisión de moderación. Pueden leerlo, pero no cambiarlo, y cada vez que abren uno registramos quién lo hizo y cuándo.

Puedes poner tu propio sitio fuera de línea en un solo paso, desde sus ajustes. Desde ese momento, todas sus direcciones muestran una página sencilla que dice “Este sitio está desconectado”, hasta que lo vuelvas a poner en línea. Cuántas denuncias recibimos y qué hicimos está en el informe de transparencia.

Las apps que conectas

Claude, ChatGPT o tu propio script pueden publicar por ti. Sea cual sea el camino, llegan a la misma API pública que usarías tú: no hay una vía aparte para agentes que entre en tu cuenta, así que una app no puede tocar nada que tú no pudieras tocar.

Un conector pasa por el flujo de autorización normal: se registra, te enviamos aquí para iniciar sesión y ves lo que pide antes de aceptar. El acceso dura 60 minutos. El token de actualización que lo acompaña cambia cada vez que se usa, se anula si alguna vez se presenta dos veces (eso quiere decir que otra persona tiene una copia), se anula tras 30 días sin usarse, y termina 90 días después de empezar, por mucho que se haya usado.

Las claves son para scripts, se muestran una sola vez y se guardan como hash: una filtración de nuestra base de datos no es una lista de claves que funcionen. Ni una clave ni un conector pueden actuar como personal de Solta, porque retirar el sitio de alguien es algo de lo que tiene que responder una persona.

Todo lo que has conectado aparece en tus ajustes con la fecha de su último uso, y desconectarlo surte efecto en el acto: en todos los tokens que tenga esa app, no solo en el siguiente.

Dónde están tus datos

• Servidores y bases de datos en Alemania.
• Archivos publicados bajo jurisdicción de la UE.
• Copias de seguridad cada noche, guardadas 30 días. Una vez por semana, la más reciente se restaura en una base de datos de prueba y se comprueba.
• Las visitas a las propias páginas de solta.now las cuenta DataFast, fuera de la UE, y solo con consentimiento. Nunca se ejecuta en los sitios que publicas.

La lista completa de quién más maneja tus datos está en la página de subencargados, y avisamos 30 días antes de que cambie.

Lo que no hacemos

• No vendemos lo que publicas, ni ninguna otra cosa, a nadie.
• No usamos lo que publicas para entrenar modelos de IA.
• No mostramos publicidad, y no seguimos a nadie de una web a otra.
• No borramos las estadísticas de un sitio para que subas de plan.

Cada una de estas cosas está escrita en los Términos o en la política de privacidad, donde nos obliga.

Preguntas

Avísanos de un problema

Escribe a security@solta.now. Respondemos en un plazo de dos días hábiles, no te amenazaremos, y te atribuiremos el hallazgo, salvo que prefieras que no lo hagamos.

Por favor, no hagas pruebas contra sitios de otras personas. Publica uno tuyo y prueba contra ese: el código que se recorre es el mismo.

Solta es un equipo pequeño. Esta página dice lo que es verdad hoy, no lo que suena impresionante; cuando algo cambia, cambia aquí.