Seguridad
El lugar más seguro para un extracto bancario es el ordenador en el que ya está. StatementEasy está hecho para que se quede ahí.
Tu extracto lo lee tu navegador
Cuando sueltas un PDF, el conversor —JavaScript que tu navegador descargó con la página— lo abre, lee el texto y construye la tabla. Con la mayoría de los extractos el archivo no se envía en absoluto, y no se guarda nada al cerrar la pestaña. El Excel o CSV también se crea en tu navegador y se guarda directamente en tus descargas.
Dos casos pasan por nuestro servidor. Primero, un extracto que tu navegador no pudo leer, o cuyos saldos no cuadran, se vuelve a leer automáticamente en nuestro servidor, y lo ves en pantalla. Segundo, los escaneos y fotos, si lo eliges (en este dispositivo, tu navegador descarga el motor libre Tesseract desde el CDN jsDelivr y no se envía nada). En nuestro servidor el archivo se guarda en una carpeta privada que solo el proceso de lectura puede abrir, lo lee una tarea en segundo plano y se borra en cuanto se ha leído; el texto reconocido se cifra y se borra cuando tu navegador lo recoge, o como muy tarde a los 30 minutos.
Lo garantiza el navegador, no solo lo prometemos
Cada página se sirve con una Content Security Policy, una cabecera que le dice a tu navegador con qué servidores puede comunicarse la página. La nuestra solo permite este sitio y jsDelivr (para el motor de OCR). Aunque un script intentara enviar tu extracto a otro sitio, el navegador lo bloquearía. Esta es la política, tal y como se envía:
default-src 'self'; script-src 'self' 'unsafe-inline' 'wasm-unsafe-eval' blob: https://cdn.jsdelivr.net; worker-src 'self' blob: https://cdn.jsdelivr.net; connect-src 'self' blob: data: https://cdn.jsdelivr.net; img-src 'self' data: blob:; style-src 'self' 'unsafe-inline'; font-src 'self' data:; frame-ancestors 'none'; base-uri 'self'; form-action 'self'; object-src 'none'
El sitio funciona solo con HTTPS (HSTS), no se puede incrustar en otras webs y no pide acceso a la cámara, el micrófono ni la ubicación.
Compruébalo tú mismo en un minuto
- Abre este sitio y después desconecta el wifi o el cable de red.
- Suelta un extracto en PDF. Se sigue convirtiendo y puedes descargar el Excel, porque nada necesitaba salir de tu dispositivo.
O abre las herramientas de desarrollo del navegador (F12), ve a la pestaña Red y convierte un extracto: verás los archivos de la página y pequeños contadores /api/event, y ninguna petición con tu archivo.
Qué llega a nuestro servidor
- Contadores de uso anónimos: por ejemplo «se convirtió un extracto, 3 páginas, 42 filas, saldos que cuadran, Excel descargado». Sin nombres, números, importes, fechas, conceptos ni nombres de archivo. Los visitantes se cuentan con un hash que cambia cada día, sin cookies.
- Extractos que aún no sabemos leer: el archivo original, cifrado con AES-256 con una clave que solo tiene nuestro servidor, y una copia anónima de su formato. Solo los abre nuestro equipo para dar soporte al formato, cada acceso queda registrado, y se borran en cuanto el formato funciona, como mucho a los 14 días.
- Extractos que tu navegador no pudo leer, y escaneos o fotos que eliges leer en nuestro servidor: se borran después de leerlos, salvo un extracto que seguimos sin saber leer (punto siguiente).
- Los mensajes que envías con el formulario de contacto, y un extracto solo si decides adjuntarlo (se borra a los 30 días).
Tienes todos los detalles en la política de privacidad.
Informar de una vulnerabilidad
Escribe a [email protected]. Respondemos en dos días laborables y mencionamos a quien quiera ser mencionado. Ver también security.txt.