Construir. Proteger. Crecer.

Ambas cosas, según el nivel de incertidumbre. Un alcance escrito y estable —un sitio, un rediseño, una integración definida— va a precio cerrado: un importe, una lista de entregables y pagos por hitos. Un producto que va a evolucionar durante la construcción va por tiempo y materiales, por jornada-persona, con un tope mensual acordado de antemano. Cuando la necesidad todavía no está clara, empezamos por un encuadre corto, facturado aparte, que desemboca en una valoración firme. Los presupuestos son en dírhams, sin IVA, y detallan lo que no está incluido con el mismo cuidado que lo que sí lo está.

Depende del alcance, y no damos un plazo antes del encuadre. A título indicativo: un sitio de presentación estructurado se cuenta en semanas; una aplicación de negocio o un portal de cliente, en meses, divididos en lotes entregados uno tras otro en lugar de en una única entrega final. La planificación se revisa en cada lote. Lo que más a menudo desplaza una fecha no es lo técnico: son los contenidos pendientes de validación y los accesos por obtener (DNS, alojamiento, datos existentes). Por eso los pedimos desde el primer día.

La entrega incluye un periodo de garantía durante el cual las anomalías respecto al alcance contractual se corrigen sin coste. Después, un contrato de mantenimiento mensual cubre las actualizaciones de seguridad, las copias de seguridad y su prueba de restauración, la vigilancia de disponibilidad y un volumen de horas de evolución, acumulable o no según la modalidad. Ese contrato es opcional: la documentación de despliegue, los accesos y los repositorios se le entregan en todos los casos, para que pueda retomar el control o confiar la continuación a otra persona.

Usted decide, y queda escrito en el contrato: el país de alojamiento, el tiempo de conservación de las copias de seguridad y la lista de personas con acceso. Por defecto desplegamos en proveedores europeos, y en Marruecos cuando es una exigencia por su parte. Si el proyecto trata datos personales, se aplica la ley 09-08 y puede ser necesaria una declaración ante la CNDP: nosotros redactamos la descripción técnica del tratamiento, pero la declaración sigue a nombre del responsable del tratamiento, es decir, usted.

Suyo. La cesión de los derechos sobre el código, los diseños y los contenidos producidos para el proyecto está escrita en el contrato y surte efecto con el pago del saldo: no se sobreentiende. Recibe los repositorios Git con su historial, los accesos de alojamiento y la documentación de explotación. Conservamos únicamente el derecho a reutilizar nuestros componentes internos genéricos, los que existían antes de su proyecto. No ponemos ningún candado propietario ni licencia de uso sobre lo que le entregamos.

Empieza por una autorización escrita: alcance exacto, ventanas de prueba, contactos de urgencia y conducta a seguir en caso de incidente. Sin ese documento no probamos nada. Después viene el reconocimiento pasivo —superficie expuesta, DNS, cabeceras, certificados— y luego las pruebas activas únicamente sobre el alcance autorizado: autenticación, control de acceso, inyección, configuración, dependencias. Recibe un informe en el que cada hallazgo lleva su prueba de reproducción, su impacto, su prioridad y la corrección propuesta, seguido de una presentación oral y de una verificación de las correcciones. Una auditoría describe el estado de un sistema en una fecha dada; no demuestra la ausencia de vulnerabilidades.