Hay un tipo distinto de confianza digital que los ciudadanos extienden sin pensarlo dos veces: cuando buscas un caso judicial, reservas una cita médica en un hospital público o presentas una queja a través de un portal estatal, asumes que la plataforma del otro lado está configurada para proteger lo que envías. Esta semana, pusimos esa suposición a prueba.
El 20 de septiembre de 2026, realizamos escaneos del Mozilla HTTP Observatory en cinco servicios digitales del Estado ecuatoriano: portales donde los ciudadanos interactúan directamente con el sistema de justicia, los servicios de salud pública y los canales de contacto gubernamentales. Los resultados se presentan a continuación.
Los Resultados
Cinco servicios escaneados en la misma fecha. La puntuación más alta fue 70. El más bajo, 0.
| Servicio | URL | Grado | Puntuación | Reprobado / Aprobado | Datos de Ciudadanos Procesados |
|---|---|---|---|---|---|
| Fiscalía General de la República — Consulta de Caso | fiscalia.gob.ec | F | 10 | 5 / 5 | 🔐 Registros judiciales |
| Contacto Ciudadano | contactociudadano.gob.ec | F | 0 | 4 / 6 | 🔐 Quejas y solicitudes |
| IESS — Sistema de Citas Médicas | app.iess.gob.ec | F | 20 | 4 / 6 | 🔐 Datos de salud |
| ARCSA — Aplicaciones de Regulación Sanitaria | aplicaciones.controlsanitario.gob.ec | D | 35 | 4 / 6 | Registros sanitarios |
| Ministerio de Salud Pública (MSP) | salud.gob.ec | B | 70 | 2 / 8 | Información de salud pública |
Tres de los cinco servicios recibieron una calificación de F. El promedio del grupo es 27 sobre 100, la misma calificación que obtuvimos hace dos semanas al escanear 17 portales municipales de Ecuador. Dos sectores distintos, el mismo número exacto.
Lo que falló — y por qué es importante
HTTP Observatory audita ocho categorías de encabezados. Estos fueron los puntos de fallo más consistentes en los cinco servicios:
La tasa de fracaso del 100% para CSP en todos los servicios probados no es una coincidencia — es un patrón estructural. Lo vimos en los municipios. Lo vemos de nuevo aquí. Refleja configuraciones predeterminadas que simplemente no se están aplicando en el servidor web o en la capa de proxy inverso en vastas partes de la infraestructura digital pública de Ecuador.
Un detalle que no debería ser público
X-Powered-By: PHP/8.1.32 en su respuesta HTTP. El portal institucional del MSP devuelve PHP/8.4.4. Revelar versiones exactas de tiempo de ejecución en los encabezados de producción presenta un riesgo de huellas dactilares: le da a cualquier atacante que escanee en busca de CVEs conocidos un punto de partida preciso. Suprimirlo requiere una sola línea de configuración del servidor.Tres servicios, tres categorías de datos sensibles
Lo que distingue a esta cohorte de una auditoría genérica de sitios gubernamentales es la naturaleza de los datos que atraviesan estas plataformas.
El portal de consulta de casos de la Fiscalía (Consulta de Noticias del Delito) procesa registros directamente vinculados al estado legal de las personas. El sistema de citas del IESS procesa datos personales de salud. Contacto Ciudadano maneja las quejas de los ciudadanos, las cuales frecuentemente contienen detalles identificativos, declaraciones personales y narrativas sensibles.
Bajo la Ley Orgánica de Protección de Datos Personales (LOPDP) de Ecuador, esto no es incidental. Cumple con la definición formal estatutaria de datos sensibles.
Art. 6 — Categorías Especiales de Datos Sensibles
Los datos de salud, la información genética, los registros judiciales y penales, y los datos relacionados con el estado legal de una persona se clasifican como sensibles. Su procesamiento exige salvaguardias técnicas y organizativas reforzadas.
Art. 37 — Obligaciones de Seguridad de Datos
Los responsables del tratamiento de datos deben implementar salvaguardias técnicas que aseguren la confidencialidad, integridad y disponibilidad de los datos personales[cite: 1]. La falta de una cabecera HSTS, las cookies enviadas sin la bandera Secure y la total ausencia de CSP son deficiencias técnicas concretas directamente pertinentes a este deber legal.
La LOPDP se aplica a las entidades públicas sin excepción. La Superintendencia de Protección de Datos Personales ha estado activa desde 2023 y ha iniciado acciones de cumplimiento — incluyendo sanciones regulatorias en 2025 contra LigaPro (~ 50K) y la Federación Ecuatoriana de Fútbol (~ 00K). Ecuador mantiene algunas de las sanciones legales más altas de la región por incumplimiento: hasta el 2% de la facturación anual por infracciones graves. Ecuador mantiene algunas de las sanciones legales más altas de la región por incumplimiento: hasta el 2% de la facturación anual por infracciones graves.
No afirmamos que estos portales hayan sufrido una violación o que se haya filtrado información. Lo que establecen estos hallazgos de escaneo es que su configuración actual no cumple con la línea base técnica exigida por la LOPDP para las clasificaciones de datos que procesan[cite: 1]. La ley no espera a que ocurra un incidente antes de imponer deberes — exige controles de seguridad preventivos de antemano.
Por qué el Portal MSP obtiene una B mientras que otros obtienen una F
El portal institucional del MSP (salud.gob.ec) aprueba ocho de diez verificaciones del Observatorio, obteniendo una calificación de B con 70 puntos. El sistema de citas del IESS y la consulta de casos de la Fiscalía fallan entre cuatro y cinco verificaciones, obteniendo una F.
La diferencia entre una B y una F en HTTP Observatory rara vez es una cuestión de presupuesto. Casi siempre se trata de una cuestión de configuración.
El portal MSP funciona con nginx en una implementación que habilita múltiples encabezados defensivos por defecto. Las dos comprobaciones que falla — CSP y SRI — son brechas generalizadas, pero la base arquitectónica es sólida. Los portales que reciben una F carecen de encabezados fundamentales básicos que pueden añadirse directamente en el servidor web o en el nivel de proxy inverso sin tocar una sola línea del código fuente de la aplicación.
Esto refleja los hallazgos que informamos sobre el Municipio de Quevedo hace dos semanas. Quevedo fue el único portal municipal en obtener una calificación aprobatoria — no por una infraestructura personalizada superior, sino porque enruta el tráfico a través de Cloudflare, que inyecta encabezados protectores por defecto. El MSP logra un resultado comparable mediante un endurecimiento deliberado de nginx. El patrón indica que la brecha no es la inversión de capital en tecnología, sino la higiene de configuración.
Metodología
observatory.mozilla.org.Este informe es la tercera entrega de la serie de septiembre de 2026 de UrbaDigital. Las ediciones anteriores cubrieron 17 portales de GAD municipales (8 de septiembre) y 20 dominios de universidades públicas (15 de septiembre). Un informe consolidado intersectorial se publicará el 29 de septiembre.
¿Está tu portal configurado de esta manera también?
Ejecutamos HTTP Observatory y evaluamos su postura técnica en comparación con los requisitos técnicos de la LOPDP. Recibes un informe de hallazgos procesables y una hoja de ruta de remediación priorizada, sin costo alguno.
Solicitar una Evaluación
