La pàgina d'arranjaments, tal com la rep qui et porta el web

Arranjaments tècnics de Clínica Dental Ejemplo

Domini clinicaejemplo.example · Ciudad Ejemplo · mesurat el 17 de setembre de 2026, 09:12 UTC. Aquesta pàgina és per a qui et porta el web i el correu: cada bloc porta què et costa, els passos amb el text exacte per enganxar i la evidència mesurada a la teva auditoria.

Exemple públic amb dades fictícies. La pàgina real és privada: només la té el client, porta el seu propi codi i no apareix als cercadors.

6 troballes · 4 mitjanes · 2 baixes

1. Política DMARC en mode només monitoratge (p=none) Mitjana

   Què et costa: «p=none» només informa: els correus que suplanten el nom de la clínica continuen entrant encara que els informes diguin que existeixen.

   Passos per arranjar-ho

   1. Substitueix el teu registre DMARC per aquest (manté el que ja tinguis i canvia la política a bloqueig, amb adreça d'informes):

      v=DMARC1; p=quarantine; rua=mailto:dmarc@clinicaejemplo.example; fo=1

   2. Quan tots els remitents legítims (web, facturació, CRM) estiguin alineats, puja l'últim pas:

      v=DMARC1; p=reject; rua=mailto:dmarc@clinicaejemplo.example; fo=1

   Evidència mesurada

   Domini	clinicaejemplo.example
   Registre mesurat	v=DMARC1; p=none;
   Política	none (només monitoritza)
   Mesurat el	17 de setembre de 2026, 09:12 UTC

2. No s'han detectat signatures DKIM als selectors habituals Mitjana

   Què et costa: Sense signatura, els filtres de spam desconfien més dels teus correus: un pressupost o una confirmació de cita poden acabar a la carpeta de spam del client.

   Passos per arranjar-ho

   1. Activa la signatura DKIM al panell del teu proveïdor de correu. Et donarà un registre TXT com aquest; publica'l al selector que t'indiqui:

      selector._domainkey   TXT   "v=DKIM1; k=rsa; p=<clau pública que et dona el proveïdor>"

   2. Selectors habituals segons el proveïdor: Google Workspace → google; Microsoft 365 → selector1 i selector2; altres → el que mostri el panell.

   3. Signa un correu de prova i comprova que arriba amb dkim=pass (a Gmail: «Mostra l'original»).

   Evidència mesurada

   Domini	clinicaejemplo.example
   Selectors provats	default, google, selector1, selector2, k1, s1
   Signatures actives	cap
   Mesurat el	17 de setembre de 2026, 09:12 UTC

3. Falten capçaleres de seguretat HTTP Mitjana

   Què et costa: Deixen el web més exposat a manipulacions (clickjacking, connexions degradades) i resten punts de confiança. S'arranja al servidor o al CDN, sense tocar el disseny.

   Passos per arranjar-ho

   1. Afegeix les capçaleres que falten al servidor o al CDN. A Caddy (Caddyfile, dins del bloc del lloc):

      Strict-Transport-Security "max-age=31536000; includeSubDomains"
      Content-Security-Policy "default-src 'self' https:; img-src 'self' data: https:; script-src 'self' https:; style-src 'self' 'unsafe-inline' https:"
      X-Content-Type-Options "nosniff"
      X-Frame-Options "DENY"
      Referrer-Policy "strict-origin-when-cross-origin"

   2. La mateixa idea a nginx (bloc server):

      add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
      add_header Content-Security-Policy "default-src 'self' https:; img-src 'self' data: https:; script-src 'self' https:" always;
      add_header X-Content-Type-Options "nosniff" always;
      add_header X-Frame-Options "DENY" always;
      add_header Referrer-Policy "strict-origin-when-cross-origin" always;

   3. Si al davant tens Cloudflare, també les pots afegir amb una «Transform Rule → Modify Response Header», sense tocar el servidor.

   4. Content-Security-Policy és la més delicada: estrena-la primer en mode Content-Security-Policy-Report-Only per veure què trenca.

   Evidència mesurada

   URL mesurada	https://clinicaejemplo.example
   Capçaleres absents	strict-transport-security, content-security-policy, x-content-type-options, x-frame-options, referrer-policy
   Capçaleres presents	cap
   Mesurat el	17 de setembre de 2026, 09:12 UTC

4. Pàgina de cita sense formulari ni consentiment Mitjana

   Què et costa: La pàgina /cita dona error 404 i no hi ha cap formulari alternatiu: qui vol demanar hora no té on, i la intenció de reservar es perd en aquest clic.

   Passos per arranjar-ho

   1. Publica la pàgina de cita amb un formulari breu i visible. Enganxa aquest bloc i adapta el destí i els textos legals:

      <form action="/gracias" method="post">
        <label>Nom <input type="text" name="nombre" required></label>
        <label>Telèfon <input type="tel" name="telefono" required></label>
        <label>Email <input type="email" name="email"></label>
        <label>Què necessites?
          <textarea name="mensaje" rows="3"></textarea></label>
        <label><input type="checkbox" name="consent" required> Accepto la política de privacitat</label>
        <button type="submit">Demanar cita</button>
      </form>

   2. Enllaça la política de privacitat, desa el consentiment i avisa qui correspongui: en tractar dades de salut, minimitza el que demanes.

   3. Prova l'enviament des del mòbil i confirma que el correu arriba (revisa també la carpeta de spam).

   Evidència mesurada

   URL mesurada	https://clinicaejemplo.example
   Pàgines clau	/contacto 200 · /aviso-legal 200 · /politica-de-privacidad 200 · /cita 404
   Pàgines absents	/cita
   Mesurat el	17 de setembre de 2026, 09:12 UTC

5. Registre SPF amb política permissiva (~all / SoftFail) Baixa

   Què et costa: Amb «~all» (SoftFail) el correu suplantat es marca com a sospitós, però es lliura: els teus clients el reben igual.

   Passos per arranjar-ho

   1. Substitueix el registre TXT de SPF per aquest: només canvia el final, de «~all» a «-all». Abans, confirma amb qui gestiona el correu que tots els sistemes legítims (web, facturació, CRM) són a la llista:

      v=spf1 include:_spf.ejemplo-mail.example -all

   2. Si algun sistema envia correu en nom teu i no està autoritzat, continuarà al spam: afegeix-ne l'include: abans de «-all».

   Evidència mesurada

   Domini	clinicaejemplo.example
   Registre mesurat	v=spf1 include:_spf.ejemplo-mail.example ~all
   Mecanisme final	~all (SoftFail: avisa però no bloqueja)
   Mesurat el	17 de setembre de 2026, 09:12 UTC

6. Sense dades estructurades de negoci local Baixa

   Què et costa: Google no té la fitxa tècnica que diu que ets una clínica amb adreça, telèfon i horari: competeixes pitjor a les cerques locals («dentista a Ciudad Ejemplo») i al mapa.

   Passos per arranjar-ho

   1. Publica aquest JSON-LD al <head> de la portada. Canvia les dades entre < > per les reals:

      <script type="application/ld+json">
      {
        "@context": "https://schema.org",
        "@type": "Dentist",
        "name": "Clínica Dental Ejemplo",
        "url": "https://clinicaejemplo.example",
        "telephone": "+34 <telèfon>",
        "address": {
          "@type": "PostalAddress",
          "streetAddress": "<carrer i número>",
          "addressLocality": "Ciudad Ejemplo",
          "postalCode": "<cp>",
          "addressCountry": "ES"
        },
        "openingHours": "Mo-Fr 09:00-20:00",
        "sameAs": ["<perfil de Google>"]
      }
      </script>

   2. Valida'l al Rich Results Test de Google abans de publicar-lo: un JSON-LD amb una coma mal posada no es llegeix.

   Evidència mesurada

   URL mesurada	https://clinicaejemplo.example
   Tipus trobats	BreadcrumbList, ImageObject, ListItem, Organization, WebPage, WebSite
   Falta	Dentist · LocalBusiness (adreça, telèfon, horari)
   Mesurat el	17 de setembre de 2026, 09:12 UTC

analitik · auditoria tècnica automatitzada · 17 de setembre de 2026, 09:12 UTC