--- title: "Diseño web para empresas de ciberseguridad: 18 ejemplos" description: "18 sitios de ciberseguridad revisados el 7 de noviembre de 2026: emergencias, centros de confianza, security.txt, precios y pruebas, y un checklist." url: "https://dardo.studio/es/blog/diseno-web-ciberseguridad/" language: "es" translations: {"en":"https://dardo.studio/en/blog/cybersecurity-website-design/","pt":"https://dardo.studio/pt/blog/sites-de-ciberseguranca/"} updated: "2026-11-08T05:14:47.365Z" --- [Blog](https://dardo.studio/es/blog/) # Diseño web para empresas de ciberseguridad: 18 ejemplos y qué hace bien cada uno 12 sitios de seguridad de Estados Unidos y 6 de Latinoamérica revisados el 7 de noviembre de 2026: cómo ganan la confianza del comprador y qué copiar. Por [Nicolás Cerón](https://dardo.studio/es/nicolas-ceron/) · 8 de noviembre de 2026 ![Una portada fortificada de piedra sobre un puente y un foso de noche, con faroles ámbar en los muros y su pesado portón pintado de carmesí.](https://dardo.studio/_astro/01M6WMFT3E8GWQGB31YEVWQQGM_Z2w1Jj8.webp) ## Puntos clave - De 12 sitios de empresas de seguridad de Estados Unidos revisados el 7 de noviembre de 2026, 5 enlazan desde la página de inicio un camino para emergencias o incidentes, y 4 lo ponen en el encabezado o la barra superior. - 6 de los 12 publican precios con cifras, del plan gratis de Tailscale para hasta 6 usuarios al catálogo de Chainguard, que empieza en USD 19K para un equipo de 10. - 9 de los 12 sirven un archivo security.txt en /.well-known/, pero solo 5 incluyen los dos campos que exige el RFC 9116: Contact y Expires; ninguno de los 6 sitios latinoamericanos que revisamos sirvió uno. - Solo 4 de los 12 sitios de Estados Unidos tienen versión en español en su página de inicio: Wiz, Okta, Cloudflare y 1Password. - La versión en español del sitio de Appgate suma casos de clientes de la región, como Puntos Colombia, BanBif y Sorocaba Refrescos, que su página en inglés no muestra. ## La respuesta corta Revisamos el 7 de noviembre de 2026 los sitios web de 12 empresas de seguridad de Estados Unidos, de seguridad en la nube e identidad a cumplimiento normativo, detección gestionada y programas de recompensas por fallas, y los de 6 empresas que le venden a Latinoamérica en español. No es un ranking: cada una está aquí porque muestra un patrón con claridad, para un CISO, un jefe de TI, un desarrollador o el dueño de una pequeña empresa. Lo que tienen en común los 12 de Estados Unidos: - **Un camino para el comprador en problemas.** 5 de los 12 enlazan desde la página de inicio una página para emergencias o incidentes, y 4 la ponen en el encabezado o la barra superior. - **Los precios públicos van con la compra sin intermediarios.** 6 de los 12 publican precios con cifras, y los 6 ofrecen un plan gratis o una prueba gratis. - **Todos tienen página de confianza; no todas sirven igual.** Los 12 enlazan un centro de confianza o una página de seguridad, pero solo 5 sirven un security.txt con los dos campos que exige el estándar. - **Poca versión en español.** Solo 4 de los 12 tienen una versión en español de su página de inicio. Primero van las notas sitio por sitio, después 6 ejemplos de Latinoamérica, los patrones, lo específico de los compradores de seguridad y un checklist. ## Los 12 de un vistazo | Sitio y comprador | Camino de emergencia en la página de inicio | Precios públicos | Página de confianza o seguridad | | -------------------------------------------------------------------------------------------------------- | --------------------------------------------- | --------------------------------------------- | -------------------------------------------------- | | [Wiz](https://www.wiz.io/), seguridad en la nube, CISOs | "Under attack?" en el encabezado | No; explica el modelo de licencias | Centro de confianza con certificaciones fechadas | | [Okta](https://www.okta.com/), identidad, equipos de TI | No | Sí, desde USD 6 por usuario al mes | Página de confianza con disponibilidad y su método | | [1Password](https://1password.com/), accesos, TI y personas | No | Sí, Business a USD 8,99 por usuario al mes | Página de seguridad y documento técnico | | [Cloudflare](https://www.cloudflare.com/), seguridad de red, desarrolladores y empresas | "Under attack?" en el encabezado | Sí, en la página de inicio | Trust Hub | | [Tailscale](https://tailscale.com/), conectividad, desarrolladores y TI | No | Sí, gratis hasta 6 usuarios | Página de seguridad | | [Vanta](https://www.vanta.com/), cumplimiento automatizado, de startups a corporativos | No | No; lista sus planes | Enlace a centro de confianza | | [Huntress](https://www.huntress.com/), seguridad gestionada, pymes y MSP | No | Sí, precios de lista | Enlace a centro de confianza | | [Arctic Wolf](https://arcticwolf.com/), detección gestionada, empresas medianas | "Experienced a Breach?" en la barra superior | No | Página de seguridad de la información | | [Rapid7](https://www.rapid7.com/), detección y exposición, equipos de seguridad | "Get Breach Support" en el pie de página | No | Página de confianza con su compromiso ante CISA | | [Chainguard](https://www.chainguard.dev/), cadena de suministro de código abierto, equipos de plataforma | No | En parte: plan gratis, catálogo desde USD 19K | Enlace a centro de confianza | | [Expel](https://expel.com/), detección gestionada, líderes de SOC | No | No; lista paquetes | Página de seguridad para quien evalúa proveedores | | [HackerOne](https://www.hackerone.com/), pruebas ofensivas, equipos de AppSec e investigadores | "Contacted by a hacker?" en la barra superior | No | Centro de confianza con 11 certificaciones | Todos revisados el 7 de noviembre de 2026 en las páginas en inglés que las empresas muestran en Estados Unidos. ### Cuáles tienen versión en español Si vendes en Colombia o México, es lo primero que vas a preguntar. Ese día encontramos: - **Con versión en español:** Wiz, con [una versión para España](https://www.wiz.io/es-es) que también traduce el enlace de emergencia ("¿Están bajo ataque?"); Okta, con [México](https://www.okta.com/es-mx/) y España; Cloudflare, con [Latinoamérica](https://www.cloudflare.com/es-la/) y España; y 1Password, en español. - **Con un enlace que no lleva al español:** el enlace "Español (Spanish)" de Arctic Wolf redirige a su sitio en inglés para el Reino Unido. - **Sin versión a la vista:** Tailscale, Vanta, Huntress, Rapid7, Chainguard, Expel y HackerOne. Las versiones traducidas no siempre siguen a la original: la página de Cloudflare para Latinoamérica tenía otro titular ("Conecta, protege y desarrolla en todas partes") y no mostraba los precios que la versión en inglés pone en la página de inicio. Diseño web B2B ¿Quieres que Dardo lo haga por ti? Cuéntanos qué necesitas. Nico te responde personalmente en un día hábil. [Pedir una propuesta](https://dardo.studio/es/contacto/?service=b2b-website-design) · [Ver el servicio](https://dardo.studio/es/servicios/diseno-web-b2b/) ## Doce ejemplos, un patrón cada uno ### Wiz: una autoevaluación para quien no quiere una demo todavía [Wiz](https://www.wiz.io/), plataforma de seguridad en la nube, abre con "Protect Everything You Build and Run" y un formulario de demo en la portada. La prueba está pensada para un CISO: "Trusted by more than 65% of Fortune 100 companies", 18 logos de clientes, una calificación en G2 con 916 reseñas, un Forrester Wave, un IDC MarketScape y citas de responsables de seguridad con nombre y cargo. "Under attack?" está en el encabezado junto a "Get a demo". Para quien no quiere hablar todavía, una [autoevaluación gratis](https://www.wiz.io/cloud-security-assessment) hace 9 preguntas, una por dominio de seguridad, y devuelve un nivel de riesgo. La página de precios explica el modelo de licencias sin cifras, y el [centro de confianza](https://www.wiz.io/trust-center) fecha cada certificación; la más reciente que vimos era del 3 de diciembre de 2025. **Vale la pena copiar:** una autoevaluación que entrega un resultado, para que la primera llamada parta de las respuestas del comprador. ### Okta: cifras con su método [Okta](https://www.okta.com/), la empresa de identidad, rota titulares sobre agentes de IA y pone un teléfono en la barra superior. Sus casos de clientes empiezan por cifras. Los precios son públicos: el paquete Starter empieza en USD 6 por usuario al mes y Essentials en USD 17, con facturación anual y un mínimo de USD 1.500 al año ([precios de Okta](https://www.okta.com/pricing/)). Lo que destaca es el método. La [página de confianza de Okta](https://trust.okta.com/) muestra una disponibilidad de 99,99% en 12 meses y una nota que explica que la cifra promedia los incidentes que afectaron al menos al 10% de los clientes. Su página Secure Identity Commitment atribuye sus cifras de ataques a reportes internos del 1 de abril al 1 de julio de 2026, y la página de inicio avisa que algunas imágenes se generaron con Midjourney. **Vale la pena copiar:** poner el método y el periodo junto a cada cifra que publicas. ### 1Password: el cifrado explicado en una frase [1Password](https://1password.com/) abre con "Secure access for every human and AI agent" y dos puertas, "Talk to sales" y "View plans". Su [página de seguridad](https://1password.com/security) explica el modelo de doble llave en palabras simples: la empresa no puede usar, perder ni abusar de datos que no tiene. Un documento técnico y las auditorías publicadas quedan para quien quiere profundidad. 1Password Business cuesta USD 8,99 por usuario al mes con facturación anual, con prueba de 14 días sin tarjeta de crédito, y el pie de página ofrece un generador de contraseñas gratis. **Vale la pena copiar:** explicar tu modelo de seguridad en una frase que alguien no especialista pueda repetir, y enlazar el documento técnico. ### Cloudflare: precios en la página de inicio [Cloudflare](https://www.cloudflare.com/) abre con "Everything we learned from powering 20% of the Internet" y "Start building for free". Afirma que bloquea 310.000 millones de amenazas al día y luego imprime precios en la página de inicio: un plan gratis, Pro a USD 20 al mes y Business a USD 200, con facturación anual, y un plan Zero Trust en el que los primeros 50 empleados son gratis. "Under attack?" está en el encabezado. La [página de emergencia](https://www.cloudflare.com/under-attack-hotline/) explica la respuesta en tres pasos, del diagnóstico al monitoreo, junto a un formulario. El pie enlaza el Trust Hub y Cloudflare Radar, sus datos públicos de internet. **Vale la pena copiar:** si un equipo pequeño puede comprar sin una llamada, pon el precio donde decide. ### Tailscale: un programa para el empleado que lo lleva al trabajo [Tailscale](https://tailscale.com/) muchas veces empieza con un ingeniero que lo usa en casa. Su texto usa a propósito el vocabulario del comprador ("replaces your legacy VPN, SASE, and PAM") y cita publicaciones de desarrolladores bajo "Developer approved". El plan personal es gratis hasta 6 usuarios; Standard cuesta USD 8 y Premium USD 18 por usuario al mes. El enlace "Make the case" del menú abre [Bring Tailscale to work](https://tailscale.com/bring-tailscale-to-work): un plan de implementación, horas de consulta mensuales y recompensas, hasta tres meses gratis de un plan para equipos. La [página de seguridad](https://tailscale.com/security) dice que Tailscale ve tus metadatos, no tus datos, lista lo que sí recibe y remite al código abierto para que lo compruebes. **Vale la pena copiar:** si el uso empieza desde abajo, haz una página que ayude a tu fan a venderte dentro de su empresa. ### Vanta: las normas como menú El comprador de [Vanta](https://www.vanta.com/) suele llegar con el nombre de una norma y una fecha límite. El titular es "Get your compliance together", la portada pide solo un correo y los menús ordenan por tamaño de empresa y por norma (SOC 2, ISO 27001, HIPAA, FedRAMP y más), cada una con su guía o checklist. La prueba empieza con "Trusted by 16,000 businesses". La página de precios lista cuatro planes y ofrece precios personalizados después de una demo. Vanta vende centros de confianza, incluye uno en su plan de entrada y enlaza el suyo, aunque esa página solo carga con JavaScript y no pudimos leerla. Su security.txt era válido, pero vencía el 15 de noviembre de 2026, ocho días después de nuestra visita. **Vale la pena copiar:** si tus compradores buscan por norma, haz de cada norma una página y una opción del menú. ### Huntress: precios de lista aunque vendan los socios [Huntress](https://www.huntress.com/) le escribe a pequeñas empresas y a los MSP que las atienden: "Hackers Wrecked. Your Enterprise Secured.", con un SOC 24/7 detrás y "Start for Free". La prueba es volumen y reseñas: "Securing 285k+ Businesses Like Yours" y 4,8 de 5 en más de 1.200 reseñas de G2. Su [página de precios](https://www.huntress.com/pricing) publica precios de lista, como Managed EDR a USD 8,99 al mes por equipo, y aclara que la mayoría compra a través de un socio y que la compra directa exige 50 licencias por producto. Un programa recurrente, Tradecraft Tuesday, promete cero productos y cero discursos de venta. **Vale la pena copiar:** publicar precios de lista aunque vendan los socios, para que el comprador pequeño pueda presupuestar antes de llamar. ### Arctic Wolf: una garantía que admite que nada lo detiene todo [Arctic Wolf](https://arcticwolf.com/) pone primero en su barra superior "Experienced a Breach?"; la [página de emergencia](https://arcticwolf.com/emergency-incident-response/) muestra un teléfono gratuito, números internacionales y un formulario. Sus estadísticas de amenazas citan la fuente en una nota: su propio informe de tendencias de 2026 y el Cost of a Data Breach 2026 de IBM. La prueba distinta es financiera. Su [garantía de operaciones de seguridad](https://arcticwolf.com/why-arctic-wolf/security-operations-warranty/) cubre hasta USD 3 millones en eventos cubiertos, dice que ninguna solución de ciberseguridad puede prevenir el 100% de los ataques y enlaza los términos. **Vale la pena copiar:** si respaldas tu servicio con dinero, di qué cubre, enlaza los términos y no prometas perfección. ### Rapid7: herramientas gratis que la comunidad ya usa [Rapid7](https://www.rapid7.com/) abre con "The Preemptive MDR Leader that Outpaces Attackers" y cuatro menciones de analistas. Su activo más fuerte está en el menú Intelligence: Metasploit, que Rapid7 llama la herramienta de pruebas de penetración más usada del mundo, la plataforma forense Velociraptor y una base de datos de vulnerabilidades. "Get Breach Support", en el pie, lleva a una [página de respuesta a incidentes](https://www.rapid7.com/services/incident-response/) con un teléfono 24/7, +1-844-RAPID-IR. La [página de confianza de Rapid7](https://www.rapid7.com/trust/) fue la única de las que leímos que enlaza su informe del compromiso Secure by Design de CISA. **Vale la pena copiar:** herramientas gratis que los especialistas usan a diario los traen de vuelta más que un blog. ### Chainguard: una afirmación que puedes comprobar en un catálogo público [Chainguard](https://www.chainguard.dev/) vende imágenes de código abierto endurecidas a equipos de plataforma, y sus afirmaciones son concretas: "3,000+ images with 97.6% fewer CVEs than public alternatives" y un acuerdo de nivel de servicio de un día para vulnerabilidades explotadas conocidas. La [página de precios](https://www.chainguard.dev/pricing) lo vuelve condiciones: 5 imágenes gratis, un compromiso contractual de 7 días para CVE críticas y 14 para el resto, y un catálogo que empieza en USD 19K para un equipo de 10. El [directorio público de imágenes](https://images.chainguard.dev/) deja a cualquiera explorarlas y compararlas; su calculadora decía que 5 imágenes comunes (Go, Node, Python, Ruby, Rust) eliminarían 4.179 vulnerabilidades, una reducción de 99,71%. **Vale la pena copiar:** convertir tu afirmación principal en algo que un ingeniero escéptico pueda comprobar sin hablar con ventas. ### Expel: una página de seguridad para quien evalúa proveedores [Expel](https://expel.com/) escribe con voz directa: "From detection to done. Faster.", analistas a los que les escribes por Slack o Teams y "Forrester says we're a Leader. We agree.", con el descargo de Forrester en una nota. Quien no quiere una llamada puede unirse a una demo grupal de 30 minutos. La página para estudiar es "[Security & compliance, plainly stated.](https://expel.com/security-compliance/)" Nombra "The four documents that answer 90% of vendor reviews", disponibles bajo acuerdo de confidencialidad: el informe SOC 2 Type II con su carta puente, un informe NIST SP 800-171, una descripción de la arquitectura escrita para revisores de seguridad y no para mercadeo, y una ficha sobre su uso de IA. **Vale la pena copiar:** decirle a quien evalúa qué documentos necesita, en qué orden y cómo pedirlos. ### HackerOne: una puerta para "Contacted by a hacker?" [HackerOne](https://www.hackerone.com/) atiende a empresas que necesitan pruebas y a los investigadores que las hacen. "Not every vulnerability matters. Fix the ones that do." le habla a las primeras; "Help build a safer internet" y una tabla pública de posiciones, a los segundos. Junto al formulario de contacto dice que su equipo suele responder en 1 día hábil. La barra superior tiene un enlace que pocos sitios tienen: "[Contacted by a hacker?](https://www.hackerone.com/contact/security-incident)". Ofrece ayudar a la empresa a la que contactó un hacker a planear sus siguientes pasos, le dice a quien está siendo extorsionado que acuda a las autoridades y menciona un programa de divulgación gratis. Su centro de confianza lista 11 certificaciones, entre ellas ISO 29147 e ISO 30111, las normas de divulgación y gestión de vulnerabilidades. **Vale la pena copiar:** identificar los momentos en que un desconocido te necesita con urgencia y darle a cada uno un enlace con nombre. ## Seis ejemplos de Latinoamérica Leímos el mismo día, en su versión en español, seis sitios de empresas de seguridad que le venden a Latinoamérica. Ninguno sirvió un security.txt en /.well-known/: cinco respondieron que no existe y el servidor de Appgate rechazó la consulta. ### Fluid Attacks: pruebas que se pueden verificar, reseña por reseña [Fluid Attacks](https://fluidattacks.com/es/), de seguridad de aplicaciones, tiene un sitio completo en español que te trata de tú: "Los agentes construyen. Tú lideras." y luego "Nosotros aseguramos.", con "Prueba gratis" y "Demo interactivo". Su [página de planes](https://fluidattacks.com/es/plans) ofrece una prueba gratis de 21 días del plan Essential y pide contactar a ventas para el plan con pentesters. Separa los beneficios por equipos de desarrollo, de seguridad y de fraude. Cada fragmento de reseña enlaza a la reseña individual en Gartner Peer Insights, y publica una página de vulnerabilidades divulgadas. Sus datos estructurados dicen que fue admitida como CNA del programa CVE en junio de 2021, "the first CNA in Latin America (organization location: Colombia)". Un detalle a corregir: la misma página dice 4,7 de 5 "based on 378 ratings" en un lugar y "based on 778 ratings" en otro. **Vale la pena copiar:** enlazar cada reseña y cada logro a su fuente, para que el comprador lo verifique en un clic. ### Appgate: casos de clientes de la región en la versión en español [Appgate](https://www.appgate.com/es/), de acceso Zero Trust (ZTNA), traduce su sitio al español con trato de tú, aunque deja el titular en inglés ("The ZTNA Platform"). Lo útil es que la versión en español suma casos de la región: además de DXC, Reltio y Nequi, que también salen en inglés, muestra a Puntos Colombia, BanBif y Sorocaba Refrescos. Un detalle: los casos en español hablan de "Appgate SDP" y la versión en inglés de "AppGate ZTNA". Si el producto cambió de nombre, el comprador nota la diferencia. **Vale la pena copiar:** casos de clientes que el comprador local reconoce, en la versión de su idioma. ### Batuta: un incidente contado minuto a minuto La dirección metabaseq.com redirige a [Batuta](https://www.batuta.com/), que abre con "Somos Otro Concepto de SOC." y un botón para "Agendar discovery de 30 min". En lugar de explicar su tecnología, cuenta el mismo incidente dos veces: con su SOC, la alerta entra a las 03:00 y queda contenida a las 03:15; con un SOC tradicional, se contiene a las 07:30. Las alertas críticas llegan "pre-investigadas en Telegram, Slack o Teams". Muestra su certificación SOC 2 Tipo II y su membresía en FIRST. También afirma "Somos el Mejor SOC de Latinoamérica" sin decir según quién, el tipo de frase que conviene respaldar o quitar. **Vale la pena copiar:** explicar un servicio técnico con la línea de tiempo de un incidente, en horas que el comprador entiende. ### Lumu: cuenta gratis y precio por dispositivo, con la traducción a medias [Lumu](https://lumu.io/es/), de detección de compromisos en la red, ofrece en español "Obtener Cuenta FREE", una "Visita guiada" y "Precios corporativos". Ese enlace lleva a la [página de precios](https://lumu.io/pricing/) en inglés: una calculadora por número de dispositivos conectados, un plan Lumu Free a USD 0 y botones para comprar en línea. Publica investigación propia, como su Informe de Compromiso 2026. La versión en español deja etiquetas en inglés ("Get Analyst Report", "Case Study", "Industry Validation") y un bloque "La voz de nuestros clientes" que solo dice "No posts found." **Vale la pena copiar:** cobrar por algo que el comprador puede contar, y revisar la versión traducida antes de publicarla. ### Kriptos: testimonios con cargo y país [Kriptos](https://www.kriptos.io/es), de clasificación de datos, trata de usted en español: "Vea lo que otros no pueden en cualquier lugar donde viven sus datos". Su argumento es una cifra: según Kriptos, el 72% de los documentos empresariales no contiene datos personales y por eso las herramientas de seguridad los ignoran, con un botón "Calcular mi riesgo". Los testimonios llevan nombre, cargo y país (Ecuador, Chile), y uno de un CISO menciona la LOPDP e ISO 27001. En el menú de la versión en inglés quedó texto de relleno: "Lorem ipsum dolor sit amet" bajo "Source Center". **Vale la pena copiar:** poner el país junto a cada testimonio cuando vendes en varios mercados. ### Hackmetrix: un diagnóstico gratis en la barra superior [Hackmetrix](https://www.hackmetrix.com/) ayuda a empresas a certificarse en normas como ISO 27001 y PCI DSS. Su barra superior dice "Evalúa la seguridad de tu empresa. ¡Iniciar diagnóstico!", el titular promete obtener certificaciones "de forma simple" y la empresa afirma que con ella te certificas "10 veces más rápido". Ofrece un test de phishing gratis y guías con plantillas gratis, con un tono cercano: "Mantén la calma: Esto es la ISO 27001". Muestra logos de gremios como Fintech México y Colombia Fintech, y su pie de página enlaza versiones por país: México, Colombia, Argentina y Chile. **Vale la pena copiar:** un diagnóstico gratis visible en todas las páginas, y una versión por país cuando vendes en varios. ## Patrones en los 12 de Estados Unidos | Patrón | Sitios | Cuáles | | ------------------------------------------------------- | ------ | ------------------------------------------------------------------- | | Camino de emergencia enlazado desde la página de inicio | 5 | Wiz, Cloudflare, Arctic Wolf, Rapid7, HackerOne | | Ese camino en el encabezado o la barra superior | 4 | Wiz, Cloudflare, Arctic Wolf, HackerOne | | Precios públicos con cifras | 6 | Okta, 1Password, Cloudflare, Tailscale, Huntress, Chainguard | | Plan gratis o prueba gratis | 6 | Los mismos seis | | Informes de analistas citados en la página de inicio | 8 | Wiz, Okta, 1Password, Vanta, Arctic Wolf, Rapid7, Chainguard, Expel | | Clientes con nombre o casos de clientes | 12 | Todos | | Centro de confianza o página de seguridad enlazada | 12 | Todos | | security.txt en /.well-known/ | 9 | Todos menos Huntress, Chainguard y HackerOne | | security.txt con Contact y Expires | 5 | Wiz, Okta, Tailscale, Vanta, Expel | | En la lista de firmantes del compromiso de CISA | 9 | Todos menos 1Password, Tailscale y Expel | | Versión en español de la página de inicio | 4 | Wiz, Okta, Cloudflare, 1Password | Lo que sugiere la tabla: 1. **Las emergencias van en el encabezado.** Una empresa bajo ataque no hace scroll, y los 4 enlaces del encabezado usan las palabras del comprador ("Under attack?", "Experienced a Breach?"). 2. **Los precios públicos van con la compra sin ventas.** Los demás explican el modelo (Wiz) o listan paquetes (Vanta, Expel) para que el comprador sepa qué preguntar. 3. **Las pruebas sobran; el método escasea.** Los 12 muestran clientes, pero pocos ponen una fuente o un método junto a sus cifras; Okta, Arctic Wolf y Expel sí lo hacen. 4. **Lo básico se queda atrás.** Solo 5 de 12 archivos security.txt cumplen los dos campos obligatorios del RFC 9116, en empresas que venden seguridad. En los 6 latinoamericanos no encontramos ninguno. ## Lo específico de los compradores de seguridad Un comprador de seguridad lee un sitio web como evalúa un producto: busca evidencia y nota lo que falta. ### Centros de confianza que le responden al evaluador Los 12 de Estados Unidos enlazan un centro de confianza o una página de seguridad, así que tener uno no te distingue; el detalle sí. Wiz fecha cada certificación, Okta explica su cifra de disponibilidad, Expel nombra los documentos y el centro de confianza de HackerOne muestra la fecha de su última actualización. Los de Vanta y Chainguard solo cargan con JavaScript y el de Huntress nos bloqueó: el navegador del comprador los muestra, pero un rastreador o un asistente de IA puede ver una página vacía. ### security.txt: 9 de 12 lo tienen, 5 cumplen lo básico El [RFC 9116](https://www.rfc-editor.org/rfc/rfc9116.html) define un archivo de texto que les dice a los investigadores cómo reportar una vulnerabilidad. Exige ponerlo en la ruta "/.well-known/" y dos campos: Contact, que "MUST always be present", y Expires, que también es obligatorio y que el RFC recomienda fijar a menos de un año. El 7 de noviembre de 2026, 9 de los 12 lo servían en /.well-known/. HackerOne lo sirve solo en la ruta antigua, en la raíz del dominio, y Chainguard y Huntress no tenían ninguno. De los 9, 1Password, Cloudflare y Arctic Wolf no tienen campo Expires, y Rapid7 cambia el nombre de los dos campos obligatorios ("Contact Security Team:"), así que un lector estándar no encuentra ninguno. Los de Wiz y Expel vencen en 2028 y 2030, más allá del año recomendado. La mayoría enlaza una política de divulgación, que les dice a los investigadores qué pueden probar; la de Wiz los manda al programa Bug Hunters de Google. ### El compromiso Secure by Design de CISA El [compromiso de CISA](https://www.cisa.gov/securebydesign/pledge), la agencia de ciberseguridad de Estados Unidos, es "voluntary and not legally binding", y CISA dice que no verifica su cumplimiento. Una de sus siete metas es publicar una política de divulgación que autorice las pruebas del público y prometa no tomar acciones legales contra investigadores de buena fe. Nueve de nuestros 12 están en la [lista de firmantes de CISA](https://www.cisa.gov/securebydesign/pledge/secure-design-pledge-signers): Wiz, Okta, Cloudflare, Vanta, Huntress, Arctic Wolf, Rapid7, Chainguard y HackerOne. Ninguna de las 12 páginas de inicio lo menciona, y de las páginas de confianza que leímos, solo la de Rapid7 enlaza su informe. Si firmaste, enlaza el informe: es evidencia que el evaluador puede comprobar. Ninguna de las 6 empresas latinoamericanas aparecía en la lista. ### Afirmaciones que conviene evitar La [guía de publicidad de la FTC](https://www.ftc.gov/business-guidance/resources/advertising-faqs-guide-small-business), la autoridad de protección al consumidor de Estados Unidos, dice que los anunciantes "must have evidence to back up their claims" y que deben tener al menos el nivel de evidencia que dicen tener. Si vendes a compradores de Estados Unidos, en un sitio de seguridad eso significa: - **Nada de promesas absolutas.** La garantía de Arctic Wolf y el centro de confianza de HackerOne parten de que nada es 100% seguro. - **Superlativos con fuente.** "El mejor SOC de Latinoamérica" necesita decir según quién. - **Una cifra por dato.** La página de inicio de Cloudflare dice 335+ ciudades en una sección y 330+ en otra; la de Fluid Attacks, 378 y 778 calificaciones. - **Cifras que existan en el HTML.** Los contadores animados de Wiz y de la página de incidentes de Rapid7 aparecen como "0" en el código, que es lo que puede citar un rastreador o un asistente de IA. Esto es información general, no asesoría legal. ## Checklist para el sitio web de tu empresa de ciberseguridad | Revisión | Cómo comprobarlo | | ------------------------------------------------------------ | ------------------------------------------------------------------------------------------------------------------- | | Un visitante entiende qué haces y para quién en una pantalla | Muéstrale la página de inicio durante cinco segundos a alguien que no trabaje en seguridad y pídele que la explique | | Quien está bajo ataque encuentra ayuda en un clic | Busca un enlace "¿Estás bajo ataque?" en el encabezado y revisa que lleve a un teléfono o a un formulario corto | | El precio es público, o el modelo de precios está explicado | Si el comprador no ve una cifra, ¿ve en qué se basa el precio? | | Cada cifra tiene fuente y fecha | Revisa cada porcentaje de tu página de inicio: ¿tiene una nota o un informe con nombre? | | Las cifras existen sin JavaScript | Abre el código fuente de la página y busca tus cifras clave | | La página de confianza nombra los documentos y cómo pedirlos | Pregúntale al evaluador de proveedores de un cliente qué pide primero | | security.txt existe y es válido | Abre /.well-known/security.txt: ¿tiene campo Contact y una fecha Expires a menos de un año? | | La política de divulgación está publicada | Revisa que el campo Policy del security.txt abra una página que diga qué se puede probar | | La versión en español está completa | Recorre la versión traducida buscando etiquetas en inglés, bloques vacíos y texto de relleno | | Hay un camino para quien no quiere hablar todavía | Un plan gratis, una autoevaluación, una visita guiada o una demo grupal | ## Qué hacer ahora Aplica el checklist a tu página de inicio, a tu página de confianza y a tu security.txt, y anota dónde te quedas corto frente a los sitios de arriba. Si vendes a empresas grandes con evaluaciones de seguridad largas, nuestro servicio de [diseño web B2B](https://dardo.studio/es/servicios/diseno-web-b2b/) planea las páginas de confianza junto con las de ventas. Si vendes un producto con plan gratis o compra en línea, mira [diseño web para SaaS](https://dardo.studio/es/servicios/diseno-web-saas/); y nuestros [ejemplos de páginas web B2B](https://dardo.studio/es/blog/ejemplos-paginas-web-b2b/) muestran los mismos patrones fuera de la seguridad. Si las brechas suman más que unos arreglos, un [rediseño web](https://dardo.studio/es/servicios/rediseno-web/) rehace la estructura, el texto y las pruebas al mismo tiempo. Para ver qué pueden leer los rastreadores y los asistentes de IA en tu sitio actual, prueba nuestro [verificador de visibilidad en IA](https://dardo.studio/es/herramientas/verificador-visibilidad-ia/), gratis. ## Preguntas frecuentes **¿Qué debe tener la página web de una empresa de ciberseguridad?** En los 18 sitios que revisamos el 7 de noviembre de 2026, los mejores hacían cinco cosas: decían con palabras simples qué hace el producto y para quién, daban un camino visible a quien está bajo ataque, fechaban y citaban sus cifras, publicaban una página de seguridad pensada para quien evalúa proveedores y mostraban precios o el modelo de precios cuando se puede comprar sin hablar con ventas. **¿Una empresa de ciberseguridad debe publicar sus precios?** Si alguien puede registrarse o comprar sin una llamada, sí. Seis de los 12 sitios de Estados Unidos publican cifras y los seis ofrecen un plan gratis o una prueba gratis. En Latinoamérica, Lumu publica una calculadora por número de dispositivos con un plan gratis, mientras Fluid Attacks ofrece una prueba de 21 días y pide hablar con ventas para el plan con pentesters. **¿Qué es security.txt y lo necesita mi sitio web?** Es un archivo de texto definido por el RFC 9116 que les dice a los investigadores cómo reportar una vulnerabilidad. Debe estar en /.well-known/security.txt y tener los campos Contact y Expires. 9 de los 12 sitios de Estados Unidos lo tienen, pero 4 de esos 9 fallan en un campo obligatorio, y ninguno de los 6 latinoamericanos que revisamos lo sirvió. **¿Qué debe incluir un centro de confianza (trust center)?** Las certificaciones con su fecha, cómo pedir los informes, la política de divulgación de vulnerabilidades, el estado del servicio y los avisos de seguridad. Los mejores agregan método y contexto: Okta explica cómo calcula su disponibilidad de 99,99%, Wiz fecha cada certificación y Expel nombra los cuatro documentos que necesita la mayoría de las evaluaciones de proveedores. **¿Estas empresas de seguridad tienen su página web en español?** Pocas. El 7 de noviembre de 2026, Wiz tenía versión para España, Okta para México y España, Cloudflare para Latinoamérica y 1Password en español. El enlace "Español" de Arctic Wolf llevaba a su sitio en inglés del Reino Unido, y en las páginas de inicio de las otras siete no encontramos versión en español. **¿Se pueden citar informes de analistas y estadísticas en el sitio?** Sí, con cuidado. La FTC de Estados Unidos dice que los anunciantes deben tener evidencia que respalde sus afirmaciones y al menos el nivel de evidencia que dicen tener. Nombra el informe y el año, pon la fuente en una nota, como Arctic Wolf y Expel, y usa la misma cifra en todas las páginas. Esto es información general, no asesoría legal. ## Fuentes y lecturas Fuentes de esta página, con más detalles de sus publicaciones originales. - [Wiz: Página de inicio](https://www.wiz.io/) · wiz.io - [Wiz: Página de inicio para España](https://www.wiz.io/es-es) · wiz.io - [Okta: Página de inicio](https://www.okta.com/) · okta.com - [Okta: Página de inicio para México](https://www.okta.com/es-mx/) · okta.com - [Okta: Trust](https://trust.okta.com/) · trust.okta.com - [1Password: Página de inicio](https://1password.com/) · 1password.com - [Cloudflare: Página de inicio](https://www.cloudflare.com/) · cloudflare.com - [Cloudflare: Página de inicio para Latinoamérica](https://www.cloudflare.com/es-la/) · cloudflare.com - [Tailscale: Página de inicio](https://tailscale.com/) · tailscale.com - [Vanta: Página de inicio](https://www.vanta.com/) · vanta.com - [Huntress: Precios](https://www.huntress.com/pricing) · huntress.com - [Arctic Wolf: Página de inicio](https://arcticwolf.com/) · arcticwolf.com - [Rapid7: Página de inicio](https://www.rapid7.com/) · rapid7.com - [Chainguard: Precios](https://www.chainguard.dev/pricing) · chainguard.dev - [Expel: Seguridad y cumplimiento](https://expel.com/security-compliance/) · expel.com - [HackerOne: Contacted by a hacker?](https://www.hackerone.com/contact/security-incident) · hackerone.com - [Fluid Attacks: Página de inicio en español](https://fluidattacks.com/es/) · fluidattacks.com - [Fluid Attacks: Planes](https://fluidattacks.com/es/plans) · fluidattacks.com - [Appgate: Página de inicio en español](https://www.appgate.com/es/) · appgate.com - [Batuta: Página de inicio](https://www.batuta.com/) · batuta.com - [Lumu: Página de inicio en español](https://lumu.io/es/) · lumu.io - [Lumu: Precios](https://lumu.io/pricing/) · lumu.io - [Kriptos: Página de inicio en español](https://www.kriptos.io/es) · kriptos.io - [Hackmetrix: Página de inicio](https://www.hackmetrix.com/) · hackmetrix.com - [RFC Editor: RFC 9116](https://www.rfc-editor.org/rfc/rfc9116.html) · rfc-editor.org - [CISA: Secure by Design Pledge](https://www.cisa.gov/securebydesign/pledge) · cisa.gov - [CISA: Firmantes del Secure by Design Pledge](https://www.cisa.gov/securebydesign/pledge/secure-design-pledge-signers) · cisa.gov - [FTC: Advertising FAQs, guía para pequeñas empresas](https://www.ftc.gov/business-guidance/resources/advertising-faqs-guide-small-business) · ftc.gov [Nicolás Cerón](https://dardo.studio/es/nicolas-ceron/) Nicolás Cerón es el fundador de Dardo, un estudio de marca, diseño y desarrollo web en Bogotá, Colombia. ## Artículos relacionados - [**Mejores páginas web SaaS B2B: 15 ejemplos y lo que hace bien cada una**Revisamos 15 páginas web SaaS B2B el 7 de noviembre de 2026, de Linear a HubSpot, y 5 de América Latina: qué muestran, dónde ponen la prueba y qué enlazan.](https://dardo.studio/es/blog/mejores-paginas-web-saas-b2b/) - [**Ejemplos de páginas web B2B: 12 sitios reales de distintas industrias y los patrones que vale la pena copiar**12 páginas web B2B revisadas el 17 de octubre de 2026, de Stripe a GE Vernova: cómo dicen para quién son, dónde ponen pruebas y precios, y qué copiar.](https://dardo.studio/es/blog/ejemplos-paginas-web-b2b/) - [**Ejemplos de páginas de precios SaaS: 20 páginas B2B comparadas y qué hace bien cada una**Leímos 20 páginas de precios SaaS B2B y 5 de Colombia y México el 7 de noviembre de 2026: planes, selector anual, IA, IVA y qué copiar de cada una.](https://dardo.studio/es/blog/ejemplos-paginas-de-precios-saas/) - [**Páginas web de fintech: 12 ejemplos de EE. UU. y 5 de Colombia y México, y qué copiar de cada una**17 páginas web de fintech revisadas el 7 de noviembre de 2026, de Mercury a Nu y Bold: cómo cada una gana confianza cuando hay dinero de por medio.](https://dardo.studio/es/blog/paginas-web-fintech/) ## Sigue explorando. - [Servicio · **Diseño web B2B para ciclos de venta largos**](https://dardo.studio/es/servicios/diseno-web-b2b/) - [Tu proyecto · **Inicia una conversación**](https://dardo.studio/es/contacto/)