Durante septiembre de 2026, UrbaDigital realizó un análisis sistemático de la infraestructura digital pública de Ecuador: un sector por semana, cuatro sectores a lo largo del mes. Utilizamos Mozilla HTTP Observatory, una herramienta gratuita y pública, para evaluar la configuración de seguridad de cada portal institucional.
El resultado es una radiografía de la seguridad web del sector público ecuatoriano tal como está hoy: cincuenta instituciones, cuatro tipos de trabajo muy distintos y un patrón que apenas cambia entre ellas.
¿Qué mide HTTP Observatory? ¿Qué mide el Observatorio HTTP? Evalúa la configuración de los encabezados de seguridad HTTP y produce una puntuación de 0 a 100, mapeada a una calificación de letras (A a F). Evalúa la configuración de los encabezados de seguridad HTTP y produce una puntuación de 0 a 100, mapeada a una calificación de letras (A a F). No detecta brechas activas; mide qué tan bien está protegido un sitio para prevenirlas. Ocho categorías por sitio: CSP, HSTS, X-Frame-Options, SRI, Cookies, CORS, manejo de redirecciones y Política de Referencia.
Los Cuatro Sectores a Primera Vista
Semana del 7 de septiembre
Plataformas Estatales
8 instituciones · DATA593, ANT, CNE ×2, Afiliación IESS, GOB.EC, SRI, Quipux
25/ 100F
Semana del 15 de septiembre
Universidades Públicas
20 instituciones · desde Yachay Tech (0) hasta UTM (80)
47/ 100C
Semana del 8 de septiembre
Municipios (GADs)
17 instituciones · de Guayaquil (0) a Quevedo (70)
27.6/ 100F
Semana del 20 de septiembre
Justicia y Salud
5 institutions · Fiscalía, IESS Appointment System, MSP, ARCSA, Contacto Ciudadano
27/ 100F
Tres de los cuatro sectores promedian menos de 30 sobre 100. La excepción fue el sector universitario, donde cuatro instituciones —UTM, EPN, UTN, UG— obtuvieron 75 o más y elevaron el promedio a 47.
Todos los resultados — De peor a mejor
Puntuación del Observatorio HTTP por Institución — Septiembre de 2026
50 instituciones · escala 0–100 · umbral de aprobación ≥ 70 (Grado B o superior)
Plataformas Estatales · 8 instituciones
CNE — Centro de Votación10
GOB.EC — Portal Ciudadano45
Quipux — Document Management50
Justicia y Salud · 5 instituciones
Fiscalía — Case inquiry10
IESS — Online appointment system20
ARCSA — Sanitary Control35
Ministerio de Salud Pública70
Municipios / GADs · 17 instituciones
Ambato · Guayaquil · Manta · Ibarra0
Azogues · Quito · Esmeraldas55
Universidades Públicas · 20 instituciones
Yachay Tech · ESPOCH · ESPOL0
UTB · UCE · UEA · UTMachala55
F — crítico (0–24)
D — deficiente (25–49)
C — aceptable (50–69)
B — aprobado (70+)
Fuente: Informe de Rendimiento Web · Observatorio HTTP · Sep 2026
Lo que falló en los cuatro sectores
Ciertos fracasos surgieron en todos los sectores, sin excepción.
Política de Seguridad de Contenidos (CSP)
50 de 50
Ningún sitio tenía un CSP válido. Este encabezado regula qué scripts pueden ejecutarse en la página; su ausencia es el facilitador más común de los ataques de Cross-Site Scripting (XSS).
X-Frame-Options
~40 de 50
Faltante en aproximadamente el 80% de los sitios. Sin él, una página puede ser incrustada dentro de un iframe de terceros, el vector principal para los ataques de clickjacking contra los ciudadanos que envían formularios.
HSTS
~35 de 50
Sin HTTP Strict Transport Security, una sesión puede degradarse de HTTPS a HTTP en texto plano e interceptarse a través de redes compartidas o públicas.
Cookies (Atributo Secure)
~20 de 50
Las cookies de sesión entregadas sin la bandera Secure pueden ser interceptadas a través de canales no cifrados, lo cual es especialmente crítico en sistemas autenticados como el gestor de citas del IESS.
La tasa de fracaso del 100% para CSP en todos los servicios probados no es una coincidencia: es un patrón estructural. Lo vimos en los municipios. Lo vimos en las universidades. Lo vemos una vez más aquí. Refleja configuraciones predeterminadas que simplemente no se están aplicando en el servidor web o en la capa de proxy inverso en vastas porciones de la infraestructura digital pública de Ecuador.
Las cinco instituciones que aprobaron
Cinco instituciones obtuvieron una calificación aprobatoria de B o superior. Lo que comparten es mucho más instructivo que lo que los distingue.
80
UTM — Universidad Técnica de Manabí
La puntuación más alta entre las 50 instituciones. La configuración del servidor habilita múltiples encabezados de seguridad por defecto.
75
UG · UTN · EPN
Tres universidades con configuraciones de encabezados consistentes y configuraciones de nginx con seguridad habilitada por defecto.
70
MSP — Ministerio de Salud Pública
Única institución en el Estado y los sectores de justicia/salud que aprobó. Usa nginx con los encabezados de seguridad habilitados.
70
Quevedo — Municipal GAD
Única municipalidad que aprobó. Dirige el tráfico a través de Cloudflare, que inyecta encabezados de seguridad por defecto — no debido a una configuración local deliberada.
La diferencia entre una B y una F en HTTP Observatory rara vez es una cuestión de presupuesto. Casi siempre se trata de una cuestión de configuración.
La Dimensión LOPDP
La Ley Orgánica de Protección de Datos Personales clasifica ciertas categorías de datos como sensibles según el Artículo 6: datos de salud, antecedentes judiciales y penales, datos genéticos e información relacionada con el estado legal de una persona. Las instituciones que procesan estas categorías están legalmente obligadas a implementar salvaguardias técnicas reforzadas.
LOPDP · Art. 6 — Datos Sensibles
Categorías Especiales de Tratamiento
Los datos de salud, la información genética, los registros judiciales y penales, y los datos sobre el estado legal de una persona se clasifican como sensibles. Su procesamiento exige salvaguardias técnicas y organizativas reforzadas.
LOPDP · Art. 37 — Seguridad de los Datos Personales
Obligaciones de Seguridad del Responsable
Los responsables del tratamiento de datos deben implementar salvaguardias técnicas que garanticen la confidencialidad, integridad y disponibilidad de los datos personales[cite: 1]. La falta de una cabecera HSTS, las cookies transmitidas sin la bandera Secure y la ausencia total de CSP son deficiencias técnicas concretas directamente pertinentes a esta obligación legal.
La LOPDP se aplica a las entidades públicas sin excepción. La Superintendencia de Protección de Datos Personales ha estado activa desde 2023 y ha iniciado procedimientos de ejecución, incluyendo sanciones regulatorias en 2025 contra LigaPro (~ 50K) y la Federación Ecuatoriana de Fútbol (~ 00K). Ecuador mantiene algunas de las sanciones legales más altas de la región por incumplimiento: hasta el 2% de la facturación anual por infracciones graves. Ecuador mantiene algunas de las sanciones legales más altas de la región por incumplimiento: hasta el 2% de la facturación anual por infracciones graves.
No afirmamos que estos portales hayan sufrido una violación o que se haya filtrado información. Lo que los hallazgos de este análisis establecen es que su configuración actual no cumple con la línea base técnica exigida por la LOPDP para las categorías de datos que manejan. La ley no espera a que ocurra un incidente para imponer deberes — exige controles de seguridad preventivos de antemano.
Cinco Patrones de Septiembre
El CSP es un fracaso universal. 50 instituciones analizadas en cuatro sectores. Ninguna tenía un encabezado de Content-Security-Policy válido. No es negligencia individual — es un déficit estructural en la infraestructura digital pública de Ecuador.
Los portales que manejan los datos más sensibles obtienen las puntuaciones más bajas. Fiscalía (registros judiciales), Sistema de Citas del IESS (datos de salud) y Contacto Ciudadano (quejas ciudadanas) recibieron una F — precisamente los portales que la LOPDP exige que proporcionen las protecciones más robustas.
La escala y el prestigio no predicen la seguridad. Guayaquil (2.6M residentes) obtuvo 0. ESPOL — una de las escuelas de ingeniería más prestigiosas de Ecuador — obtuvo 0. La UTM obtuvo 80. La variable decisiva es la configuración del servidor, no la estatura institucional.
Las universidades superaron a todos los demás sectores. Un promedio de 47, en comparación con 25-28 en el resto. Cuatro universidades obtuvieron una puntuación de 75 o más. El sector universitario exhibe prácticas de TI más diversas, con ciertos equipos manteniendo activamente las configuraciones de encabezados.
La remediación no es cara. Cada institución que aprobó lo hizo mediante la configuración de encabezados a nivel de servidor, sin reemplazar la infraestructura ni comprar software especializado. HSTS, X-Frame-Options y Referrer Policy se pueden agregar en minutos. La diferencia entre un 0 y un 70 es la higiene de configuración.
Metodología
Herramienta: Mozilla HTTP Observatory (a través de webperformancereport.com) · Período de Evaluación: 7–20 de septiembre de 2026 · Total de Instituciones: 50 · Sectores: Plataformas del Estado Central (8), universidades públicas (20), GAD municipales (17), portales de justicia y salud (5) · Criterios de Selección: Portales para ciudadanos con interacción directa — autenticación, envío de datos, consultas de casos, programación de citas, presentación de quejas · Todos los escaneos son públicos y reproducibles de forma independiente en observatory.mozilla.org.
Este informe es la última entrega de la serie de septiembre de 2026 de UrbaDigital. Las ediciones anteriores cubrieron 17 portales de GAD municipales (8 de septiembre), 20 dominios de universidades públicas (15 de septiembre) y 5 portales de justicia y salud (20 de septiembre).
Diagnóstico de Seguridad Web Gratuito para Su Institución
¿Está tu portal configurado de esta manera también?
Ejecutamos HTTP Observatory y comparamos su postura técnica con los requisitos de la LOPDP. Recibes un informe de hallazgos procesables y una hoja de ruta de remediación priorizada, sin costo alguno.
Solicitar una Evaluación
