Accesibilidad, diseño universal y usabilidad. Acceso y usabilidad de las tecnologías, productos y servicios relacionados con la sociedad de la información. Confidencialidad y disponibilidad de la información en puestos de usuario final. Conceptos de seguridad en el desarrollo de los sistemas.

Índice

1. Por qué este tema se aprueba o se suspende por los detalles
2. Accesibilidad, usabilidad y diseño universal: tres cosas distintas
3. El diseño universal y sus siete principios
4. A quién se dirige: barreras y tecnologías de apoyo
5. WCAG: las pautas de accesibilidad al contenido web
6. La familia del W3C: WCAG, ATAG, UAAG y WAI-ARIA
7. La norma EN 301 549 y su versión española
8. El marco jurídico: de la Directiva al Real Decreto 1112/2018
9. Cómo se revisa la accesibilidad de verdad
10. Usabilidad: los diez principios de Nielsen
11. Diseño centrado en el usuario y pruebas con personas
12. Documentos accesibles y los estándares PDF
13. Confidencialidad y disponibilidad en el puesto de usuario final
14. Seguridad en el desarrollo de los sistemas
15. Cuadros para memorizar
16. Lo que ya ha preguntado el tribunal

1. Por qué este tema se aprueba o se suspende por los detalles

Este es un tema engañoso. Leído por encima parece blando —accesibilidad, usabilidad, buenas prácticas— y da la sensación de que se puede contestar con sentido común. No es así: de las preguntas que ha puesto el tribunal sobre esta materia, casi todas se contestan con un dato exacto, y quien va con la idea general las falla todas.

La prueba está en el propio examen. Estas cuatro han caído literalmente:

• Qué significan las siglas ATAG, con las otras tres pautas del consorcio como distractores.
• Cuál de estos cuatro es un principio del diseño universal, con «robustez» e «información operable» —que son de otra lista, la de WCAG— entre las opciones.
• En qué plazo hay que responder a una queja de accesibilidad: veinte días… ¿naturales o hábiles?
• Qué incluye exactamente el contenido accesible según el artículo 3 del Real Decreto 1112/2018, con cuatro párrafos casi idénticos de los que solo uno recoge la lista completa.

Las cuatro son de memoria fina. Y a eso se suma la segunda mitad del enunciado oficial —confidencialidad y disponibilidad en el puesto de usuario y seguridad en el desarrollo—, que es donde el tribunal pregunta por SAST, por la validación de entradas o por la cabecera que evita el rastreo del tipo de contenido. Materia técnica y muy concreta.

Así que este tema se estudia con dos listas delante: la de las siglas —que son muchas y se parecen— y la de los números —plazos, niveles, cantidades—. Todo lo demás es contexto para entenderlas.

2. Accesibilidad, usabilidad y diseño universal: tres cosas distintas

El primer error, y el que más caro sale, es tratarlas como sinónimos. Son tres conceptos con orígenes distintos, con normas distintas y, sobre todo, con listas de principios distintas, que es exactamente lo que el tribunal cruza para construir sus distractores.

2.1. Accesibilidad

La accesibilidad es la condición que deben cumplir los entornos, los procesos, los bienes, los productos y los servicios para ser comprensibles, utilizables y practicables por todas las personas, en condiciones de seguridad y comodidad y de la forma más autónoma y natural posible. Esa definición no es una opinión: es la que recoge la legislación española de derechos de las personas con discapacidad, y de ella salen las cuatro palabras que conviene retener —comprensible, utilizable, practicable, autónomo—.

Tres precisiones que se preguntan:

• No es solo para personas con discapacidad. Beneficia a las personas mayores, a quien tiene una limitación temporal —un brazo escayolado, una otitis—, a quien está en un entorno adverso —sol de frente en la pantalla, ruido, una conexión pésima— y a cualquiera que use el teclado por costumbre. Es lo que se llama la curb-cut effect: el rebaje de la acera se hizo para las sillas de ruedas y hoy lo usan los carritos, las maletas y las bicicletas.
• Es un derecho, no una mejora opcional. Para el sector público es una obligación jurídica con norma propia, plazos y régimen de reclamación.
• Se mide. Existen criterios verificables, niveles de conformidad y herramientas. No es una valoración subjetiva.

2.2. Usabilidad

La usabilidad es otra cosa: es el grado en que un producto puede ser usado por unos usuarios concretos para conseguir unos objetivos concretos con eficacia, eficiencia y satisfacción en un contexto de uso determinado. Esta definición viene de la norma internacional ISO 9241, y de ella salen las tres medidas que se preguntan:

Medida	Qué responde	Cómo se mide en una prueba
Eficacia	¿Consigue el usuario terminar la tarea?	Porcentaje de tareas completadas con éxito.
Eficiencia	¿A qué coste lo consigue?	Tiempo empleado, número de clics, número de errores.
Satisfacción	¿Cómo se ha sentido usándolo?	Cuestionarios de valoración tras la sesión.

⚠️ La diferencia práctica con la accesibilidad: un formulario puede ser perfectamente accesible —etiquetas asociadas, contraste correcto, manejable con teclado— y a la vez espantosamente usable, porque tiene cuarenta campos y ninguno explica qué se espera. Y al revés: una interfaz preciosa y cómoda para la mayoría puede ser inaccesible si nada de ella se puede manejar sin ratón. Son ejes distintos y se evalúan por separado.

2.3. Diseño universal, o diseño para todos

El diseño universal es la estrategia: diseñar desde el principio de modo que el resultado sirva a la mayor cantidad de gente posible sin necesidad de adaptación ni de diseño especializado. No es un requisito que se comprueba al final, es una manera de plantear el proyecto desde el primer día.

🚨 La precisión que preguntó el tribunal en 2026, y que viene de la propia Directiva europea: el diseño universal debe permitir que todas las personas usen el producto o servicio en la mayor medida posible, sin adaptación ni diseño especializado, pero NO excluye los dispositivos de apoyo para determinados grupos cuando sean necesarios. El distractor decía lo contrario —que no deben existir ayudas técnicas porque todo debe funcionar igual para todos sin excepciones— y es falso: el diseño universal y las ayudas técnicas conviven. Un lector de pantalla es una ayuda técnica, y una web bien diseñada no lo sustituye: lo hace funcionar.

2.4. Experiencia de usuario

Un cuarto término que aparece en el mismo párrafo y que conviene situar. La experiencia de usuario es el concepto más amplio de los cuatro: abarca todas las percepciones y respuestas de una persona derivadas del uso o del uso previsto de un producto o servicio. Incluye lo que pasa antes de usarlo —las expectativas, la publicidad—, durante —ahí entra la usabilidad— y después —el recuerdo, la satisfacción, la confianza—. La usabilidad es, por tanto, una parte de la experiencia de usuario, no un sinónimo.

2.5. El cuadro que las separa

Concepto	Pregunta que responde	Norma de referencia	Sus principios
Accesibilidad	¿Puede usarlo cualquiera, incluidas las personas con discapacidad?	WCAG, EN 301 549, RD 1112/2018	Los cuatro de WCAG: perceptible, operable, comprensible, robusto.
Usabilidad	¿Se usa con eficacia, eficiencia y satisfacción?	ISO 9241	Los diez heurísticos de Nielsen.
Diseño universal	¿Se pensó desde el principio para todos?	Convención de la ONU, legislación de discapacidad	Los siete de la Universidad Estatal de Carolina del Norte.
Experiencia de usuario	¿Cómo vive la persona todo el proceso?	ISO 9241-210	No tiene lista cerrada: es el marco que engloba a las demás.

🚨 Esas tres listas —cuatro, diez y siete— son la clave del tema. El tribunal pregunta «señale un principio del diseño universal» y coloca entre las opciones «robustez» e «información operable», que son de WCAG. Quien no tenga separadas las tres listas cae seguro.

3. El diseño universal y sus siete principios

Los formularon en 1997 un grupo de arquitectos, diseñadores e ingenieros del Centro de Diseño Universal de la Universidad Estatal de Carolina del Norte, encabezados por Ronald Mace. Nacieron para la arquitectura y el producto físico, y se aplican igual al software.

#	Principio	Qué exige	Ejemplo en una aplicación
1	Uso equitativo	Útil y vendible a personas con capacidades diversas, sin segregar ni estigmatizar.	Una sola web para todos, no una «versión accesible» aparte.
2	Uso flexible	Se acomoda a un amplio rango de preferencias y capacidades.	Se puede manejar con ratón, con teclado y con voz.
3	Uso simple e intuitivo	Fácil de entender, sea cual sea la experiencia o el nivel de concentración.	Un formulario que se entiende sin manual.
4	Información perceptible	Transmite la información con eficacia sea cual sea el ambiente o las capacidades sensoriales.	El error no se marca solo en rojo: lleva icono y texto.
5	Tolerancia al error	Minimiza los riesgos y las consecuencias de las acciones accidentales.	Confirmar antes de borrar, y poder deshacer.
6	Escaso esfuerzo físico	Se usa con comodidad y con un mínimo de fatiga.	Botones grandes, sin arrastres imprescindibles.
7	Tamaño y espacio adecuados	Espacio apropiado para el acercamiento, el alcance y el uso.	Zonas de pulsación amplias en el móvil.

🚨 Los dos que el tribunal manipula. El sexto se llama escaso esfuerzo físico, y el distractor lo invierte: «alto esfuerzo físico». Y el cuarto se llama información perceptible, muy cerca de «información operable», que no existe en esta lista —operable es un principio de WCAG, no del diseño universal—. Esas dos trampas explican la pregunta entera.

Conviene además saber que esta pregunta oficial de 2024 fue anulada en las dos convocatorias en que apareció, lo que no la hace menos útil: significa que la materia interesa al tribunal y que volverá, probablemente mejor formulada.

4. A quién se dirige: barreras y tecnologías de apoyo

Para entender por qué un criterio de accesibilidad dice lo que dice hay que saber a qué barrera responde. La clasificación que se maneja es por tipo de limitación, sabiendo que muchas personas combinan varias y que casi todas pueden ser permanentes, temporales o situacionales.

Tipo	Barrera típica en una web	Ayuda técnica habitual	Qué exige el diseño
Visual	Imagen sin alternativa, contraste bajo, información dada solo por color.	Lector de pantalla, magnificador, línea braille.	Texto alternativo, contraste suficiente, no depender del color.
Auditiva	Vídeo sin subtítulos, aviso solo sonoro.	Subtítulos, transcripción, intérprete de signos.	Subtitular lo pregrabado y lo directo, y no dar la información solo por sonido.
Motriz	Todo pensado para el ratón, tiempos de respuesta cortos, zonas diminutas.	Teclado, pulsadores, control por voz, ratón de cabeza.	Manejo completo por teclado, foco visible, tiempos ampliables.
Cognitiva y del aprendizaje	Lenguaje complejo, estructura caótica, animaciones que distraen.	Lectores de texto, herramientas de simplificación.	Lenguaje claro, estructura previsible, poder detener el movimiento.
Del habla	Servicios que solo se atienden por voz.	Comunicadores, chat de texto.	Ofrecer un canal alternativo escrito.

La pieza que más aparece en los exámenes es el lector de pantalla, así que conviene saber cómo trabaja: recorre el árbol del documento y va anunciando lo que encuentra —encabezados, enlaces, campos de formulario, tablas—, y permite saltar de encabezado en encabezado o listar todos los enlaces de la página. Por eso el marcado semántico importa tanto: si los encabezados son etiquetas de párrafo puestas en grande, el lector no tiene por dónde navegar y la página se vuelve un muro de texto.

Y de ahí sale también la regla que más se incumple: una imagen decorativa debe llevar el texto alternativo vacío, no ausente. Si falta el atributo, muchos lectores leen el nombre del fichero; si está vacío, la imagen se ignora, que es justo lo que se busca.

5. WCAG: las pautas de accesibilidad al contenido web

5.1. Qué es y quién la hace

WCAG son las siglas de Web Content Accessibility Guidelines: las Pautas de Accesibilidad al Contenido Web. Las publica el W3C —el consorcio de la World Wide Web— a través de su iniciativa de accesibilidad, la WAI (Web Accessibility Initiative).

🚨 La definición exacta, porque el tribunal la ha preguntado: son las pautas que explican cómo hacer que el contenido web sea más accesible para las personas con discapacidad. Esa frase —«el contenido web»— es la que la distingue de sus tres hermanas, que veremos enseguida y que se refieren a las herramientas de autor, a los agentes de usuario y a las aplicaciones ricas.

Su importancia práctica es que no son una recomendación suelta: la norma europea las incorpora, y la legislación española las hace obligatorias para el sector público. Cumplir la ley española de accesibilidad web es, en la práctica, cumplir WCAG en un nivel determinado.

5.2. Los cuatro principios: perceptible, operable, comprensible y robusto

Toda la norma se organiza en cuatro principios, y esta lista es de memorización obligatoria porque aparece tanto en WCAG como, literalmente, en el artículo 5 del Real Decreto español.

Principio	Qué exige	Criterios que más caen
Perceptible	La información y los componentes se pueden percibir: si un sentido falla, hay otra vía.	Texto alternativo en las imágenes; subtítulos en el vídeo; contraste mínimo; que la información no dependa solo del color, ni de la forma, ni de la posición.
Operable	La interfaz y la navegación se pueden manejar.	🚨 Todo accesible por teclado, sin trampas de foco; tiempos ajustables; nada que destelle más de tres veces por segundo; saltar bloques repetidos; foco visible.
Comprensible	La información y el manejo se entienden.	Idioma declarado; comportamiento previsible —que enfocar un campo no cambie la página—; errores identificados con sugerencia de corrección.
Robusto	El contenido funciona con agentes de usuario y tecnologías de apoyo distintas, hoy y mañana.	Marcado válido, sin identificadores duplicados; nombre, función y valor expuestos correctamente para los componentes hechos a mano.

🚨 El principio que más se pregunta es el segundo. El enunciado oficial lo describe así: «el principio que exige que los componentes y la navegación de la interfaz de usuario se puedan manejar», y la respuesta es operable. Su criterio estrella es que todo se pueda hacer con el teclado: si una función solo existe al pasar el ratón por encima o al arrastrar, no es operable.

Una regla mnemotécnica que funciona: lo veo (perceptible), lo manejo (operable), lo entiendo (comprensible), me funciona con mi ayuda técnica (robusto).

5.3. Los tres niveles de conformidad: A, AA y AAA

Cada criterio de éxito lleva asignado un nivel, y los niveles son acumulativos:

• Nivel A: el mínimo imprescindible. Sin él hay grupos de personas que sencillamente no pueden usar el contenido.
• Nivel AA: incluye todo el A y añade lo que elimina las barreras más importantes. 🚨 Es el nivel exigido a las administraciones públicas por la norma europea y por el Real Decreto español.
• Nivel AAA: el más alto. El propio W3C advierte de que no es razonable exigirlo para todo un sitio, porque hay contenidos —según el idioma o el tipo de material— para los que no se puede alcanzar.

Dos datos numéricos que se preguntan por su cifra: en la versión 2.1 hay 78 criterios de éxito repartidos en trece pautas y cuatro principios. Y una advertencia sobre la conformidad: es por página, no por sitio, y para declarar que una página cumple un nivel tienen que cumplirse TODOS los criterios de ese nivel: no hay conformidad parcial.

5.4. Los criterios concretos que hay que llevar sabidos

No hace falta memorizar los setenta y ocho, pero sí los que aparecen en cualquier revisión y en los supuestos prácticos:

Criterio	Nivel	La cifra o la regla
Contraste del texto normal	AA	Relación mínima de 4,5 a 1 con el fondo.
Contraste del texto grande	AA	Relación mínima de 3 a 1. Grande es a partir de 18 puntos, o 14 en negrita.
Redimensionar el texto	AA	Debe poder ampliarse hasta el 200 % sin perder contenido ni funcionalidad.
Destellos	A	Nada puede destellar más de tres veces por segundo: es un criterio de seguridad frente a crisis epilépticas.
Teclado	A	Toda la funcionalidad, sin excepción, disponible desde el teclado y sin trampas de foco.
Idioma de la página	A	Declarado en el marcado, para que el lector elija la voz correcta.
Etiquetas o instrucciones	A	Cada campo de formulario, con su etiqueta asociada. El texto de ejemplo dentro del campo NO es una etiqueta.

5.5. Las versiones, sin caer en la trampa de la fecha

La versión 1.0 es de 1999 y está superada. La 2.0 (2008) fijó la estructura de cuatro principios y niveles que sigue vigente y se convirtió además en norma ISO. La 2.1 (2018) añadió criterios pensados para el móvil, la baja visión y las limitaciones cognitivas —orientación, texto en imágenes, objetivos táctiles, gestos—. La 2.2 (2023) añadió unos pocos criterios más, entre ellos los relativos a la ayuda accesible y a la autenticación.

⚠️ Aquí conviene una prevención: la versión que exige la ley no siempre es la última publicada. La obligación española se articula a través de la norma armonizada europea, y esa norma tarda en incorporar las versiones nuevas. Por eso, cuando un enunciado pregunte qué versión hay que cumplir, la respuesta correcta es la que remita a la norma armonizada vigente, no la que cite el número más alto.

6. La familia del W3C: WCAG, ATAG, UAAG y WAI-ARIA

🚨 Este apartado es el que resolvió la pregunta de ATAG, y se estudia con las cuatro juntas porque los distractores son siempre las otras tres. La pregunta clave es a QUIÉN se dirige cada una:

Sigla	Nombre	¿A quién obliga?	Su exigencia característica
WCAG	Pautas de accesibilidad al contenido web	A quien publica el contenido.	Que la página sea perceptible, operable, comprensible y robusta.
ATAG	Pautas de accesibilidad para las herramientas de autor	A quien fabrica el editor: gestores de contenido, editores de texto enriquecido, entornos de desarrollo.	🚨 DOBLE: que la herramienta sea accesible para quien la usa Y que ayude a producir contenido accesible.
UAAG	Pautas de accesibilidad para los agentes de usuario	A quien fabrica el navegador o el reproductor multimedia.	Que el agente permita ampliar, cambiar colores, manejar por teclado y hablar con las ayudas técnicas.
WAI-ARIA	Aplicaciones de internet enriquecidas y accesibles	A quien programa componentes dinámicos.	Papeles, estados y propiedades que describen un componente hecho a mano.

La respuesta literal del examen sobre ATAG fue: «son un conjunto de normas que deben cumplir las herramientas de autor para ser accesibles y generar contenidos también accesibles». Fíjese en las dos mitades —ser accesibles y generar contenidos accesibles—: esa duplicidad es lo que la identifica y lo que ninguno de los distractores recogía.

De WAI-ARIA conviene saber además su primera regla, que es contraintuitiva y por eso se pregunta: no la uses si existe un elemento nativo que ya diga lo mismo. Un botón hecho con la etiqueta de botón ya es un botón para el lector de pantalla; ponerle encima el papel de botón a una división no lo convierte en uno —seguirá sin poder recibir el foco ni responder al teclado si no se programa a mano—. Mal usada, esta especificación empeora la accesibilidad en vez de mejorarla.

7. La norma EN 301 549 y su versión española

Aquí está la pieza que conecta las pautas técnicas con la obligación jurídica, y es de las que más se olvidan.

La EN 301 549 es la norma europea de requisitos de accesibilidad para productos y servicios TIC. La elaboran conjuntamente los tres organismos europeos de normalización —CEN, CENELEC y ETSI— por encargo de la Comisión, y su alcance va mucho más allá de la web: cubre equipos físicos, programas, documentos, servicios de atención al cliente y contenido no web. En España se adopta como norma UNE-EN 301 549.

Su relación con WCAG es la que se pregunta: la norma europea incorpora los criterios de WCAG para el contenido web y para las aplicaciones móviles, y añade requisitos propios para todo lo demás. Es decir, cumplir la norma europea en su parte web equivale a cumplir WCAG en nivel AA, y por eso las dos aparecen siempre juntas.

Y su papel jurídico es el de norma armonizada: el Real Decreto no dice «cumpla usted WCAG 2.1», dice que se presume la conformidad de quien cumple los requisitos de la norma armonizada cuya referencia se haya publicado en el Diario Oficial de la Unión Europea. Ese mecanismo —la presunción de conformidad— es lo que permite actualizar los requisitos técnicos sin tener que reformar el real decreto cada vez.

⚠️ Un matiz que conviene decir con cuidado: el texto del real decreto, en su redacción, menciona una versión concreta de la norma para el caso de que no haya referencias publicadas. Las versiones de la norma europea se han ido sucediendo, así que la versión aplicable en un momento dado es la que figure publicada como armonizada, y no conviene aprenderse un número de versión como si fuera eterno.

8. El marco jurídico: de la Directiva al Real Decreto 1112/2018

Esta es la parte del tema donde se juegan las preguntas de dato exacto. Conviene tener el esquema completo, porque el tribunal salta de una norma a otra dentro de la misma pregunta.

8.1. La cadena normativa, de arriba abajo

Nivel	Norma	Qué aporta
Internacional	Convención de la ONU sobre los derechos de las personas con discapacidad (2006, ratificada por España)	Consagra la accesibilidad como derecho y define el diseño universal.
Europeo	Directiva (UE) 2016/2102, de 26 de octubre	Accesibilidad de los sitios web y aplicaciones móviles de los organismos del sector público.
Europeo	Directiva (UE) 2019/882, el Acta Europea de Accesibilidad	Extiende los requisitos a productos y servicios del sector privado: comercio electrónico, banca, transporte, libros digitales.
Español, general	Real Decreto Legislativo 1/2013, texto refundido de la Ley General de derechos de las personas con discapacidad	Define accesibilidad universal y diseño para todas las personas; régimen de infracciones.
Español, web	🚨 Real Decreto 1112/2018, de 7 de septiembre	Transpone la Directiva de 2016. Es la norma que se pregunta artículo por artículo.
Español, privado	Ley 11/2023, de 8 de mayo	Transpone el Acta Europea de Accesibilidad y otras directivas.

8.2. La Directiva (UE) 2016/2102

Establece la obligación de que los sitios web y las aplicaciones móviles de los organismos del sector público sean accesibles, y arma el sistema sobre tres piezas: los requisitos técnicos por remisión a normas armonizadas, la declaración de accesibilidad y un mecanismo de reclamación, más el seguimiento e informe periódico a la Comisión.

🚨 Lo que ha preguntado el tribunal sobre ella son dos cosas, y las dos son de matiz:

1. La definición de diseño universal que ya hemos visto: permitir el uso a todas las personas en la mayor medida posible sin adaptación ni diseño especializado, lo que no excluye los dispositivos de apoyo cuando sean necesarios.
2. Las exclusiones de su ámbito. La Directiva deja fuera a los prestadores del servicio público de radiodifusión y sus filiales, y también el contenido multimedia en directo de base temporal. Los dos distractores del examen afirmaban justo lo contrario —que sí estaban incluidos— y por eso eran falsos.

8.3. El Real Decreto 1112/2018, artículo por artículo

Es la norma nuclear del tema. Estos son los preceptos de los que salen las preguntas, con el dato exacto.

Ámbito subjetivo (artículo 2)

Se aplica a las Administraciones públicas, al sector público institucional y a otros sujetos obligados —entre ellos, entidades privadas que presten servicios públicos o reciban financiación pública en los términos que la norma fija, y asociaciones constituidas por las anteriores—. La idea que hay que retener es que el criterio no es la naturaleza jurídica, sino la función pública o la financiación.

🚨 Ámbito objetivo y contenido accesible (artículo 3)

El apartado 1 dice que se aplica tanto a los sitios web, con independencia del dispositivo con que se acceda, como a las aplicaciones para dispositivos móviles. Y el apartado 2 es el que el tribunal preguntó con cuatro párrafos casi idénticos. La lista literal del contenido accesible incluye:

la información tanto textual como no textual, los documentos y formularios que se pueden descargar, los contenidos multimedia pregrabados de base temporal, las formas de interacción bidireccional, el tratamiento de formularios digitales y la cumplimentación de los procesos de identificación, autenticación, firma y pago.

⚠️ Los dos distractores que hay que saber descartar: uno decía que los documentos y formularios descargables NO están incluidos por poder ser de terceros, y otro que los procesos de identificación, autenticación, firma y pago NO están incluidos por gestionarse a través de sistemas de terceros. Los dos son falsos: la lista los incluye expresamente. Y un tercero cambiaba el final por «el diseño de los dispositivos de interacción como pantallas, teclados y ratones», que tampoco figura, porque el real decreto regula contenido, no equipamiento.

Excepciones (artículo 3, apartados siguientes)

Quedan fuera, entre otros, los formatos de archivos de oficina publicados antes del 23 de septiembre de 2018 que no sean necesarios para procesos administrativos activos; los contenidos multimedia de base temporal en directo; los mapas —salvo que sean de navegación, en cuyo caso hay que dar la información esencial de forma accesible—; el contenido de terceros que no esté financiado ni desarrollado ni bajo el control del sujeto obligado; las reproducciones de piezas de colecciones del patrimonio que no puedan hacerse accesibles; y los contenidos que solo estén a disposición de un grupo cerrado de personas, no del público en general, hasta que sufran una revisión sustancial.

Requisitos (artículo 5)

Los contenidos deben ser perceptibles, operables, comprensibles y robustos. Los cuatro principios de WCAG, en el texto de la norma española.

Presunción de conformidad (artículo 6)

Se presume conforme lo que cumpla las normas armonizadas cuyas referencias se hayan publicado en el Diario Oficial de la Unión Europea; y, en su defecto, lo que cumpla la norma EN 301 549 o partes de ella.

Carga desproporcionada (artículo 7)

Se puede alegar que cumplir supone una carga desproporcionada, pero no vale decirlo y ya: hay que evaluarlo, justificarlo en la declaración de accesibilidad y ofrecer una alternativa accesible. Además, la norma advierte de que la falta de prioridad, de tiempo o de conocimientos no son razones válidas para alegarla.

🚨 Declaración de accesibilidad (artículo 15)

Detallada, exhaustiva y clara sobre el grado de cumplimiento, en un formato accesible y siguiendo el modelo establecido. Se actualiza como mínimo una vez al año, y además cada vez que se haga una revisión de accesibilidad. Debe indicar el estado de cumplimiento —plenamente conforme, parcialmente conforme o no conforme—, el contenido no accesible con su motivo, la fecha de la declaración y el mecanismo de comunicación.

Unidad responsable de accesibilidad (artículo 16)

Cada entidad obligada determinará la Unidad responsable de garantizar el cumplimiento en su ámbito. En la Administración General del Estado se designan en el ámbito de las Subsecretarías de cada Departamento. Entre sus funciones están coordinar, atender las quejas y las solicitudes de información accesible, y elaborar los informes.

Revisión de la accesibilidad (artículo 17)

Las revisiones se hacen en tres momentos: en la fase de diseño, antes de la puesta en funcionamiento y, una vez en marcha, de forma periódica. Es un detalle preguntable porque desmonta la idea de que la accesibilidad se comprueba solo al final.

🚨 Quejas y solicitudes de información accesible: el plazo

Cualquier persona puede presentar una queja —por el incumplimiento de los requisitos— o una solicitud de información accesible —para pedir un contenido concreto en formato accesible o una alternativa—. Recibida la solicitud o la queja:

la entidad obligada deberá responder a la persona interesada en el plazo de veinte días hábiles.

⚠️ Veinte días HÁBILES, no naturales. El examen ofrecía las cuatro combinaciones —veinte naturales, veinte hábiles, diez naturales, diez hábiles— y solo una es la buena. Y hay una segunda parte que conviene saber: si transcurrido ese plazo no se ha obtenido respuesta, o si la respuesta no satisface, se puede presentar una reclamación, que resuelve la Unidad responsable de accesibilidad correspondiente en el plazo previsto.

Seguimiento e informes (artículos 18 y 19)

El seguimiento y la presentación de informes ante la Comisión Europea corresponde al departamento ministerial competente en materia de función pública —el texto del real decreto lo nombra con la denominación que el Ministerio tenía en 2018, así que en el examen conviene fijarse en la función, no en el nombre—. Y cada Unidad responsable prepara tres informes anuales sobre su ámbito, disponibles antes del 1 de octubre de cada año: sobre la atención de quejas y reclamaciones, sobre el seguimiento del cumplimiento y sobre la promoción, formación y concienciación.

Fechas de aplicación

La entrada en vigor fue escalonada, y las tres fechas se preguntan:

• 23 de septiembre de 2019: sitios web publicados a partir del 20 de septiembre de 2018.
• 23 de septiembre de 2020: todos los sitios web, incluidos los anteriores.
• 23 de junio de 2021: aplicaciones para dispositivos móviles.

8.4. Las otras normas que rodean al tema

• Real Decreto Legislativo 1/2013: define la accesibilidad universal —la condición que deben cumplir entornos, procesos, bienes, productos y servicios para ser comprensibles, utilizables y practicables por todas las personas— y el diseño para todas las personas. Contiene además el régimen sancionador.
• Ley 11/2023: traslada al derecho español el Acta Europea de Accesibilidad, y con ella los requisitos alcanzan a productos y servicios prestados por empresas: ordenadores, cajeros, terminales de pago, servicios de comunicaciones, comercio electrónico, transporte de viajeros, servicios bancarios y libros electrónicos.
• Ley 39/2015 y Ley 40/2015: la asistencia en el uso de medios electrónicos y el derecho a relacionarse electrónicamente con la Administración presuponen que esos medios sean accesibles.
• Esquema Nacional de Seguridad y Esquema Nacional de Interoperabilidad: la accesibilidad aparece también entre los criterios de la norma técnica de interoperabilidad correspondiente.

9. Cómo se revisa la accesibilidad de verdad

La pregunta oficial de este apartado tiene forma de supuesto: a este sistema le es de aplicación la normativa de accesibilidad, ¿qué herramienta usaría?. Y la respuesta no es un producto concreto, sino entender qué puede y qué no puede hacer una herramienta automática.

9.1. Lo que detecta una herramienta automática

Un analizador recorre el marcado y comprueba lo que es mecánicamente verificable: imágenes sin alternativa, campos sin etiqueta, contraste insuficiente, idioma no declarado, identificadores duplicados, encabezados saltados, tablas sin cabecera. Es rápido, barato y se puede integrar en la cadena de construcción para que un fallo tumbe la entrega.

🚨 Y hay que saberse el NOMBRE de alguna, porque el tribunal lo preguntó así en 2024, en las tres convocatorias: «¿qué herramienta automatizada utilizaría para probar que la aplicación cumple con los estándares de accesibilidad?». La respuesta era QualWeb, un evaluador automático desarrollado en la Universidad de Lisboa que comprueba los criterios de WCAG sobre la página ya renderizada —lo que le permite evaluar también el contenido generado por guiones— y que es una de las herramientas empleadas en el seguimiento europeo de la accesibilidad.

⚠️ Los tres distractores de aquella pregunta —Equal Automatic Checker, AccSite y Shovel— no existen: están construidos para sonar a herramienta del ramo. Es la familia de distractores de este tribunal, y aquí no hay forma de razonarla: o se reconoce el nombre bueno o se falla.

Otras herramientas del mismo terreno que conviene reconocer, aunque no hayan caído todavía: los evaluadores en línea que analizan una dirección y devuelven un informe; las extensiones de navegador que marcan los problemas sobre la propia página; los analizadores de contraste, que comprueban la relación entre dos colores; los validadores de marcado del propio consorcio, porque un marcado inválido rompe la robustez; y las bibliotecas de análisis automatizable que se integran en la batería de pruebas y hacen fallar la construcción cuando aparece una infracción nueva.

⚠️ Pero solo alcanza a una parte. Las estimaciones habituales sitúan en torno a un tercio de los criterios los que una herramienta puede verificar por sí sola. El resto exige juicio humano.

9.2. Lo que solo detecta una persona

• Si el texto alternativo es correcto: la máquina ve que existe, no que describa la imagen. Un texto alternativo que diga «imagen» pasa el análisis automático y no sirve para nada.
• Si el orden de lectura y de tabulación tiene sentido: hay que recorrer la página entera con el teclado.
• Si los subtítulos son correctos y están sincronizados.
• Si el lenguaje es comprensible y los mensajes de error dicen cómo corregir.
• Si un componente hecho a mano se anuncia bien con un lector de pantalla real.

9.3. El método completo

La revisión que se sostiene ante una reclamación combina cuatro cosas: análisis automático de todo el sitio para el barrido grueso; revisión manual experta sobre una muestra representativa de páginas y de procesos completos —no páginas sueltas, sino el trámite de principio a fin—; prueba con tecnologías de apoyo reales; y, cuando se puede, pruebas con personas usuarias con distintas discapacidades. La metodología de referencia europea para el muestreo es la que publica el propio consorcio, conocida por sus siglas como metodología de evaluación de conformidad.

El resultado de todo eso es lo que se vuelca en la declaración de accesibilidad, y es también lo que da contenido a los informes anuales de la Unidad responsable.

10. Usabilidad: los diez principios de Nielsen

🚨 El tribunal preguntó por ellos en 2024 —«Jakob Nielsen estableció diez principios clave; ¿cuál de los siguientes NO es uno de ellos?»— así que hay que llevarse la lista entera, porque la pregunta es por descarte y basta con que suene bien un distractor para fallar.

Se llaman heurísticos porque no son reglas exactas sino criterios generales para inspeccionar una interfaz. Los formuló Jakob Nielsen a comienzos de los noventa, junto a Rolf Molich, y siguen siendo la referencia.

#	Principio	Qué exige, en una frase
1	Visibilidad del estado del sistema	El usuario debe saber en todo momento qué está pasando: una barra de progreso, un aviso de guardado.
2	Correspondencia entre el sistema y el mundo real	Hablar el idioma del usuario, con sus palabras, no con la jerga interna del sistema.
3	Control y libertad del usuario	Salidas de emergencia claras: deshacer, cancelar, volver.
4	Consistencia y estándares	Lo mismo se llama y se comporta igual en toda la aplicación, y se respetan las convenciones del entorno.
5	Prevención de errores	Mejor que el error no pueda cometerse: campos con formato guiado, confirmaciones antes de lo irreversible.
6	Reconocer antes que recordar	Mostrar las opciones en pantalla en lugar de obligar a memorizarlas de una pantalla anterior.
7	Flexibilidad y eficiencia de uso	Atajos para el experto que no estorben al novato.
8	Diseño estético y minimalista	Nada que compita con la información relevante.
9	Ayudar a reconocer, diagnosticar y recuperarse de los errores	Mensajes en lenguaje claro, que digan el problema y cómo salir de él, sin códigos internos.
10	Ayuda y documentación	Que exista, se encuentre y esté orientada a la tarea concreta.

⚠️ Cómo se reconoce el distractor. Los falsos que se cuelan en esta pregunta suelen ser principios de otra lista: «robustez» y «perceptible» son de WCAG; «tolerancia al error» y «escaso esfuerzo físico», del diseño universal. Ojo con el quinto de Nielsen, que se llama prevención de errores, y el noveno, que va de recuperarse de ellos: son dos principios distintos y el examen los ofrece juntos.

La evaluación heurística consiste precisamente en que un grupo pequeño de evaluadores —Nielsen recomendaba entre tres y cinco— recorra la interfaz buscando incumplimientos de estos diez principios y clasifique cada problema por su gravedad. Es barata y encuentra mucho, pero no sustituye a probar con usuarios reales: detecta lo que un experto reconoce, no lo que una persona concreta no consigue hacer.

11. Diseño centrado en el usuario y pruebas con personas

El diseño centrado en el usuario es el proceso que recoge la norma ISO 9241-210 y que ordena todo lo anterior. Su idea de fondo es que las decisiones de diseño se toman con información sobre las personas que van a usar el sistema, no sobre lo que el equipo supone.

Sus cuatro actividades se repiten en ciclo hasta que el resultado cumple los requisitos:

1. Entender y especificar el contexto de uso: quiénes son, qué tareas hacen, con qué medios y en qué entorno.
2. Especificar los requisitos de usuario y de la organización.
3. Producir soluciones de diseño: bocetos, prototipos de baja y de alta fidelidad.
4. Evaluar los diseños con usuarios frente a los requisitos.

Las técnicas que conviene reconocer por su nombre:

• Personas y escenarios: arquetipos de usuario y relatos de uso que ayudan a decidir.
• Prototipado: desde el papel hasta el prototipo navegable. Cuanto antes se prueba, más barato es corregir.
• Prueba de usabilidad: se pide a una persona que realice una tarea real y se observa dónde se atasca, sin ayudarla. Nielsen sostenía que con cinco usuarios se detecta la mayoría de los problemas graves, y que es mejor hacer varias rondas pequeñas que una grande.
• Recorrido cognitivo: el evaluador simula el razonamiento de un usuario novato paso a paso.
• Pruebas A/B y analítica: medir con datos reales de uso qué versión funciona mejor.
• Tarjetas y clasificación: para decidir la arquitectura de la información y los menús con criterio de usuario y no de organigrama.

Y un enlace directo con el tema anterior: en la Administración existen sistemas de diseño —conjuntos de pautas, componentes y herramientas comunes— cuyo objetivo es que todos los servicios digitales se vean y se comporten igual y nazcan ya accesibles. Reutilizar un componente ya probado ahorra la mitad de los problemas de accesibilidad de un desarrollo nuevo.

12. Documentos accesibles y los estándares PDF

El real decreto incluye expresamente los documentos y formularios que se pueden descargar dentro del contenido accesible, así que publicar un PDF escaneado es incumplir la norma con la misma claridad que publicar una web sin alternativas de texto.

12.1. Las reglas de un documento accesible

• Estructura real: los títulos se marcan con estilos de encabezado, no poniendo el texto en grande y negrita. Es lo que permite navegar el documento.
• Texto seleccionable: un documento escaneado es una imagen; sin reconocimiento óptico de caracteres no hay nada que leer para una ayuda técnica.
• Alternativas en las imágenes y descripción de los gráficos con datos.
• Tablas con cabecera declarada y sin celdas combinadas caprichosas.
• Idioma del documento declarado, y marcados los fragmentos en otro idioma.
• Orden de lectura comprobado, que en un documento a dos columnas casi nunca coincide con el orden visual.
• Metadatos: título del documento, que es lo que anuncia el lector al abrirlo.

12.2. Los estándares PDF que hay que distinguir

🚨 Cayó en 2023 en forma de «señale la afirmación que NO es correcta», así que hay que tener claro para qué sirve cada uno. Todos son normas ISO derivadas del formato de documento portátil:

Estándar	Para qué	Su regla característica
PDF/A	Archivo a largo plazo.	Todo lo necesario para reproducir el documento va dentro: tipografías incrustadas, sin contenido externo, sin cifrado, sin JavaScript.
PDF/UA	Accesibilidad universal.	Exige documento etiquetado, con estructura, orden de lectura y alternativas: es el estándar que hay que citar cuando se hable de PDF accesible.
PDF/X	Artes gráficas e impresión profesional.	Control del color y de las tintas para que la imprenta reproduzca exactamente lo previsto.
PDF/E	Ingeniería.	Documentos técnicos, con soporte para contenido tridimensional.
PDF/VT	Impresión de datos variables.	Tiradas donde cada ejemplar cambia, como las cartas personalizadas.

⚠️ La confusión que explota el examen: PDF/A es de archivo y PDF/UA es de accesibilidad, y son cosas distintas. Un PDF/A puede ser perfectamente inaccesible —conserva la apariencia, no la estructura— y por eso lo recomendable en la Administración es publicar documentos que cumplan los dos a la vez, cosa perfectamente posible.

🚨 Y el distractor exacto que usó el tribunal en 2023: ofreció «PDF/I proporciona especificaciones para crear, ver e imprimir páginas finales listas para imprimir o listas para la prensa» como una de las cuatro afirmaciones, y era la INCORRECTA por partida doble. Primero, porque PDF/I no existe como estándar. Y segundo, porque la descripción que le ponía —las páginas listas para la prensa— es exactamente la de PDF/X. Las otras tres opciones eran ciertas: la accesibilidad es PDF/UA, la conservación a largo plazo es PDF/A y los flujos de ingeniería son PDF/E.

Un apunte más que se pregunta: el formato ya no es propiedad de una empresa. Se cedió a la organización internacional de normalización y desde entonces es una norma ISO abierta, lo que explica que existan tantas implementaciones distintas.

12.bis. Acceso y usabilidad de los servicios de la sociedad de la información

El enunciado oficial nombra expresamente «el acceso y la usabilidad de las tecnologías, productos y servicios relacionados con la sociedad de la información», y no es un adorno retórico: apunta a un problema con nombre propio, la brecha digital, y a un conjunto de obligaciones que van más allá de la web.

12.bis.1. La brecha digital y sus tres dimensiones

Se llama brecha digital a la desigualdad en el acceso, el uso y el aprovechamiento de las tecnologías de la información. Se estudia en tres niveles, y conviene distinguirlos porque las medidas para cerrar cada uno son distintas:

Nivel	En qué consiste	Con qué se cierra
Primera brecha: de acceso	No hay conexión ni dispositivo. Es la brecha territorial —la España rural o despoblada— y la económica.	Despliegue de banda ancha, servicio universal de telecomunicaciones, ayudas al equipamiento.
Segunda brecha: de uso	Hay acceso, pero faltan las competencias digitales para aprovecharlo. Afecta sobre todo a las personas mayores y a quien tiene menor nivel formativo.	Alfabetización digital, formación, acompañamiento presencial.
Tercera brecha: de aprovechamiento	Se usa, pero no se obtienen los mismos beneficios: se hacen trámites peores, se accede a peores oportunidades.	Diseño de servicios comprensibles y usables, lenguaje claro, asistencia.

Se añade además la brecha de género, especialmente visible en las vocaciones y en el empleo tecnológico, y la brecha generacional, que es la que explica por qué un servicio público electrónico no puede diseñarse suponiendo un usuario joven y experto.

⚠️ La consecuencia jurídica de todo esto es directa: el derecho a relacionarse electrónicamente con la Administración solo es un derecho real si el servicio es accesible, usable y comprensible. De ahí la asistencia en el uso de medios electrónicos que la ley de procedimiento impone a las Administraciones —que alguien ayude a quien no puede solo—, y de ahí también que la exclusión digital se trate hoy como una forma de exclusión de servicios públicos.

12.bis.2. Lenguaje claro y lectura fácil

Dos herramientas que se confunden y que se preguntan por su diferencia:

• El lenguaje claro es una forma de escribir para todo el mundo: frases cortas, voz activa, una idea por párrafo, sin jerga innecesaria y con la información importante al principio. En el ámbito administrativo se traduce en resoluciones que se entienden a la primera.
• La lectura fácil es una adaptación más profunda y con norma propia, pensada para personas con discapacidad intelectual o del desarrollo, con dificultades de comprensión lectora o que no dominan el idioma. Tiene reglas concretas de vocabulario, estructura, tipografía y maquetación, y una validación característica: el texto lo valida un grupo de personas usuarias, no solo un experto.

Las dos son requisitos de accesibilidad cognitiva, que es la dimensión más olvidada y a la vez la que más gente beneficia.

12.bis.3. La accesibilidad en la contratación pública

Es la palanca que convierte todo lo anterior en obligación efectiva, y aparece en los supuestos prácticos. La legislación de contratos del sector público establece que, cuando el objeto del contrato vaya a ser utilizado por personas físicas, las prescripciones técnicas deben redactarse teniendo en cuenta los criterios de accesibilidad universal y de diseño para todas las personas, salvo que se justifique debidamente lo contrario.

Tres consecuencias prácticas para quien redacta un pliego:

• Los requisitos de accesibilidad se citan por norma, no como un deseo: se exige el cumplimiento de la norma armonizada y del nivel de conformidad correspondiente.
• Se pide evidencia: informe de revisión, declaración de accesibilidad y, si procede, resultados de pruebas con tecnologías de apoyo.
• Se prevé la recepción condicionada: un producto que no cumple no se da por recibido, porque corregirlo después cuesta mucho más que exigirlo antes.

Y una advertencia que vale para todo el tema: comprar un producto de mercado no exime de nada. Si la herramienta que se adquiere genera contenido inaccesible —el caso típico de un gestor de contenidos antiguo—, el incumplimiento sigue siendo del organismo, y por eso existe precisamente ATAG: para poder exigir que la herramienta de autor forme parte de la solución y no del problema.

13. Confidencialidad y disponibilidad en el puesto de usuario final

Aquí cambia el tono del tema: se pasa de la accesibilidad a la seguridad, y el enunciado oficial nombra dos dimensiones concretas —confidencialidad y disponibilidad— aplicadas a un sitio muy concreto: el puesto de trabajo. Ese acotamiento importa, porque es donde el tribunal pregunta.

13.1. Las dimensiones de la seguridad, y las cinco del Esquema Nacional

La tríada clásica de la seguridad de la información son tres propiedades:

Dimensión	Qué garantiza	Se rompe cuando…
Confidencialidad	Que la información solo la conozca quien debe.	Un correo va al destinatario equivocado; se pierde un portátil sin cifrar.
Integridad	Que la información no se altere sin autorización.	Un fichero se modifica sin dejar rastro; una copia se corrompe.
Disponibilidad	Que la información esté accesible cuando se necesita.	El disco muere, un cifrado malicioso secuestra los ficheros, cae el servicio.

🚨 El Esquema Nacional de Seguridad —Real Decreto 311/2022, de 3 de mayo— maneja CINCO dimensiones, y esa cifra se pregunta. A las tres anteriores añade:

• Autenticidad: la garantía de que quien dice ser el autor de un dato o de una acción lo es realmente.
• Trazabilidad: la garantía de que se puede reconstruir quién hizo qué y cuándo.

Y cada sistema se clasifica en una categoría —básica, media o alta— en función del nivel que corresponda a esas dimensiones: la categoría del sistema es la del nivel más alto de cualquiera de sus dimensiones. Sobre esa categoría se aplican las medidas de seguridad del anexo correspondiente.

13.2. El puesto de usuario: por dónde se pierde la información

El puesto de trabajo es, con diferencia, el punto más débil de la cadena, porque es donde coinciden la información en claro y una persona con prisa. Las amenazas que se preguntan:

Amenaza	Cómo ocurre en el puesto	Dimensión que ataca
Pérdida o robo del equipo	Un portátil olvidado, una memoria extraíble perdida.	Confidencialidad.
Sesión desatendida	El equipo se queda abierto mientras la persona se ausenta.	Confidencialidad e integridad.
Programa dañino	Un adjunto abierto sin pensar, un programa bajado de cualquier sitio.	Las tres.
Cifrado malicioso	El clásico secuestro de ficheros con petición de rescate.	Disponibilidad, y hoy también confidencialidad.
Ingeniería social y suplantación	Correo o llamada que se hace pasar por soporte o por un superior.	Confidencialidad.
Fuga por canal legítimo	Subir un fichero de trabajo a un servicio personal en la nube.	Confidencialidad.
Fallo de soporte	El disco duro deja de funcionar sin aviso.	Disponibilidad.
Miradas indiscretas	Pantalla visible desde el mostrador o en el tren.	Confidencialidad.

13.3. Medidas de confidencialidad en el puesto

• Cifrado del disco completo. Es la medida que convierte un robo en un incidente menor: sin la clave, el disco es ruido. Se combina con el arranque seguro y con el módulo de plataforma segura del equipo, que custodia la clave y la libera solo si el equipo no ha sido manipulado.
• Bloqueo automático de la sesión tras un tiempo corto de inactividad, más el bloqueo manual al levantarse. Es una medida gratuita y de las más eficaces.
• Control de dispositivos extraíbles: bloquear los puertos, o admitir solo memorias cifradas y registradas.
• Mínimo privilegio: el usuario del puesto no es administrador del equipo. Si lo es, cualquier programa que ejecute hereda ese poder.
• Gestión de contraseñas y segundo factor: contraseñas largas y únicas, custodiadas en un gestor, y autenticación de más de un factor para lo importante.
• Prevención de fuga de datos: herramientas que detectan y bloquean la salida de información clasificada por correo, por la web o por dispositivo extraíble.
• Mesa y pantalla limpias: papeles guardados, pantalla bloqueada, filtro de privacidad si el puesto está a la vista.
• Borrado seguro al retirar un equipo o un soporte, y destrucción certificada cuando corresponda. Formatear no borra.

13.4. Medidas de disponibilidad: copias de seguridad

La pregunta de supuesto que puso el tribunal sobre esto es muy clara: la base de datos se ha corrompido y además los usuarios no pueden acceder a la información. Lo que se está midiendo ahí son dos conceptos con nombre propio:

Sigla	Nombre	Qué mide	Cómo se reduce
RPO	Objetivo de punto de recuperación	Cuánta información se puede permitir perder, medida en tiempo: la distancia entre el incidente y la última copia buena.	Haciendo copias más frecuentes, o replicando en continuo.
RTO	Objetivo de tiempo de recuperación	Cuánto puede tardar el servicio en volver.	Con copias más rápidas de restaurar, con sistemas en espera y con procedimientos ensayados.

Los tipos de copia que hay que distinguir:

• Completa: se copia todo. Ocupa mucho y tarda, pero se restaura de una vez.
• Diferencial: se copia lo cambiado desde la última completa. Para restaurar hacen falta dos piezas: la completa y la última diferencial.
• Incremental: se copia lo cambiado desde la última copia, sea del tipo que sea. Es la más rápida de hacer y la más lenta de restaurar, porque hacen falta la completa y toda la cadena de incrementales.

Y la regla que resume la buena práctica, conocida por su cifra: 3-2-1. Tres copias de los datos, en dos tipos de soporte distintos, y al menos una fuera de las instalaciones. Hoy se añade con frecuencia una variante que refuerza la última cifra: una copia inmutable o desconectada, precisamente porque el cifrado malicioso moderno busca y destruye las copias antes de cifrar los datos.

⚠️ Y la regla de oro que se pregunta con enunciados capciosos: una copia que no se ha restaurado nunca no es una copia, es una esperanza. Los procedimientos de recuperación se ensayan periódicamente, y ese ensayo es el que da un valor real —y no teórico— al tiempo de recuperación.

13.5. El secuestro de ficheros, caso a caso

Merece apartado propio porque ataca a la vez a dos dimensiones y porque su respuesta se pregunta como procedimiento:

1. Contener: aislar el equipo de la red de inmediato, sin apagarlo si se necesita evidencia volátil.
2. Comunicar: notificar al responsable de seguridad y, en el sector público, al equipo de respuesta a incidentes que corresponda. Si hay datos personales afectados, entra en juego el plazo de notificación a la autoridad de protección de datos.
3. Erradicar y recuperar: reinstalar desde cero y restaurar desde una copia anterior a la infección, comprobando que la copia no está también cifrada.
4. Aprender: análisis posterior, cierre del camino de entrada y refuerzo de la formación.

Y una advertencia que forma parte de la doctrina oficial: pagar el rescate no garantiza recuperar nada, financia la actividad delictiva y marca a la organización como pagadora, lo que multiplica la probabilidad de volver a ser atacada.

13.6. Qué dice el Esquema Nacional de Seguridad del puesto

El marco de referencia para todo lo anterior en la Administración es el Real Decreto 311/2022. Sus ideas rectoras se preguntan con frecuencia:

• Seguridad integral: no es un producto, es un proceso que abarca a personas, procedimientos y tecnología.
• Gestión de riesgos como base de las decisiones: se protege en función del riesgo, no por igual.
• Prevención, detección, respuesta y conservación: las cuatro fases, en ese orden.
• Líneas de defensa: varias capas, de modo que el fallo de una no comprometa el conjunto.
• Vigilancia continua y reevaluación periódica.
• Diferenciación de responsabilidades: responsable de la información, del servicio, de la seguridad y del sistema son papeles distintos.

Y de él salen las medidas concretas que aterrizan en el puesto: identificación y autenticación, control de acceso con mínimo privilegio, protección de los equipos —incluido el bloqueo de puesto—, protección de los soportes de información con cifrado, copias de respaldo, y registro de la actividad para dar cumplimiento a la trazabilidad.

14. Seguridad en el desarrollo de los sistemas

La última parte del enunciado oficial —«conceptos de seguridad en el desarrollo de los sistemas»— es la que más preguntas técnicas concretas ha dado, y todas comparten una idea de fondo: la seguridad no se añade al final. Un sistema no se vuelve seguro poniéndole un cortafuegos delante ni pasándole un antivirus: se construye seguro o no lo es.

14.1. Los principios: desde el diseño y por defecto

Principio	Qué significa	Cómo se ve en el código
Seguridad desde el diseño	Las decisiones de seguridad se toman al diseñar, no al desplegar.	Modelado de amenazas antes de escribir la primera clase.
Seguridad por defecto	La configuración de fábrica es la más restrictiva.	Todo cerrado salvo lo que se abre expresamente; sin cuentas ni claves predeterminadas.
Mínimo privilegio	Cada componente y cada persona, con lo justo para su función.	La cuenta de la aplicación en la base de datos no es administradora.
Defensa en profundidad	Varias barreras, de modo que el fallo de una no comprometa el conjunto.	Validar en el servidor aunque el cliente ya valide.
Fallo seguro	Si algo falla, el sistema queda en el estado más restrictivo.	Si el servicio de permisos no responde, se deniega, no se permite.
Superficie de ataque mínima	Menos puertas, menos riesgo.	Se retiran los puntos de entrada, los servicios y las dependencias que no se usan.
Separación de funciones	Quien desarrolla no es quien aprueba el paso a producción.	Revisión por pares obligatoria antes de fusionar.
No confiar en el cliente	Todo lo que llega de fuera es sospechoso.	Nada de lógica de seguridad en el navegador.

14.2. El ciclo de vida seguro, fase por fase

La idea de un ciclo de vida de desarrollo seguro —el SDLC seguro, por las siglas inglesas de Software Development Life Cycle, que el tribunal ya ha usado en un enunciado— es colocar una actividad de seguridad en cada fase, en vez de una revisión al final:

1. Requisitos: requisitos de seguridad explícitos, junto a los funcionales, y las obligaciones legales que apliquen —protección de datos, Esquema Nacional de Seguridad, accesibilidad—.
2. Diseño: modelado de amenazas. Se dibuja el sistema, se marcan las fronteras de confianza y se pregunta qué puede salir mal en cada una. El método más citado clasifica las amenazas en suplantación, manipulación, repudio, revelación, denegación y elevación de privilegios.
3. Codificación: normas de programación segura, revisión por pares y análisis automático en el propio entorno de desarrollo.
4. Pruebas: análisis estático y dinámico, análisis de dependencias y, si el sistema lo merece, prueba de penetración.
5. Despliegue: configuración endurecida, secretos fuera del código, cifrado del canal, cabeceras de seguridad.
6. Operación: vigilancia, registro, gestión de parches y respuesta a incidentes.

14.3. 🚨 Validación y saneamiento de entradas

Esta es la pregunta oficial de este apartado: qué práctica de seguridad en el desarrollo previene de forma directa las vulnerabilidades de inyección como la de SQL o las secuencias de órdenes en sitios cruzados. Y la respuesta es la validación y el saneamiento de las entradas de usuario. Los distractores del examen —contraseñas complejas, antivirus en el servidor, minimizar las ventanas abiertas— no tocan el problema: la inyección ocurre porque un dato acaba interpretándose como código.

Conviene distinguir tres operaciones que suelen confundirse:

Operación	Cuándo se hace	Qué hace
Validación	Al entrar el dato.	Comprobar que cumple lo esperado: tipo, longitud, formato, intervalo. Lo mejor es la lista blanca: aceptar solo lo que encaja, en vez de intentar prohibir lo malo.
Saneamiento	Al entrar o al almacenar.	Limpiar o normalizar lo que llega, quitando lo que no debería estar.
Escapado o codificación	Al salir, según el destino.	Convertir los caracteres con significado para que se traten como texto. Es distinto para marcado, para un atributo, para un guion o para una dirección.

⚠️ Y la regla que resuelve la inyección de SQL de raíz: no es filtrar comillas, es usar sentencias parametrizadas. Con parámetros, el dato viaja como dato y nunca se mezcla con el texto de la orden, así que la comilla deja de tener efecto. Filtrar por lista negra siempre se acaba sorteando.

Para las secuencias de órdenes en sitios cruzados la contramedida directa es escapar la salida según el contexto, reforzada con la política de seguridad de contenidos y con la marca que oculta la cookie a JavaScript.

14.4. 🚨 SAST, DAST, IAST y SCA

Otra pregunta oficial, y de las que se contestan solo por las siglas: qué término designa el análisis estático del código fuente para identificar vulnerabilidades antes de desplegar en producción. La respuesta es SAST. Las cuatro familias, juntas:

Sigla	Qué analiza	Cuándo	Su punto débil
SAST Static Application Security Testing	El código fuente, sin ejecutarlo.	Muy pronto: en el editor y en cada integración.	Muchos falsos positivos; no ve los fallos de configuración ni los del entorno.
DAST Dynamic	La aplicación en ejecución, desde fuera, sin ver el código.	Tarde: hace falta un entorno desplegado.	No dice en qué línea está el fallo; cubre solo lo que alcanza a recorrer.
IAST Interactive	Combina las dos: instrumenta la aplicación y observa desde dentro mientras se ejecuta.	Durante las pruebas funcionales.	Requiere instrumentar y depende de la cobertura de las pruebas.
SCA Software Composition Analysis	Las dependencias de terceros y sus vulnerabilidades conocidas.	En cada construcción.	Depende de la calidad de la base de datos de vulnerabilidades.

⚠️ El distractor de aquella pregunta era SART, que no existe, junto a OWASP —que es una organización, no una técnica— y a DAST, que es la dinámica. La regla mnemotécnica: estático mira el código quieto; dinámico ataca la aplicación viva.

Un quinto término que conviene reconocer: el análisis de composición se apoya en el inventario de componentes del programa —la lista de todo lo que lleva dentro, con su versión—, que se ha convertido en una exigencia habitual en la contratación pública y que es lo que permite responder en horas a la pregunta «¿nos afecta esta vulnerabilidad?».

14.5. El Top Ten de OWASP

OWASP es una organización sin ánimo de lucro dedicada a la seguridad del software, y su lista de los diez riesgos más críticos de las aplicaciones web es la referencia universal. Se revisa cada pocos años, así que conviene aprender las categorías y no el número de orden, que cambia. Las que aparecen siempre:

• Control de acceso roto: se llega a un recurso ajeno cambiando un identificador en la dirección. La defensa es comprobar la autorización en el servidor y en cada petición.
• Fallos criptográficos: datos sensibles sin cifrar, algoritmos obsoletos, claves en el código.
• Inyección: la de SQL, la de órdenes del sistema y las secuencias de órdenes en sitios cruzados.
• Diseño inseguro: el fallo está en el planteamiento, no en la implementación.
• Configuración de seguridad defectuosa: servicios abiertos, mensajes de error que revelan de más, cuentas por defecto.
• Componentes vulnerables y desactualizados: la dependencia con un fallo conocido y sin parchear.
• Fallos de identificación y autenticación: sesiones mal gestionadas, contraseñas débiles, sin segundo factor.
• Fallos de integridad del software y de los datos: actualizaciones sin firmar, cadena de suministro comprometida.
• Fallos de registro y de vigilancia: el ataque ocurre y nadie se entera.
• Falsificación de peticiones del lado del servidor: se engaña al servidor para que pida un recurso interno.

Junto al Top Ten conviene citar el ASVS, el estándar de verificación de seguridad de aplicaciones de la misma organización: una lista de requisitos comprobables por niveles, que es lo que se usa para escribir requisitos de seguridad en un pliego.

14.6. Las cabeceras de seguridad que se preguntan

🚨 De aquí salió la pregunta del rastreo del tipo de contenido. Un navegador, si el servidor no declara bien el tipo, intenta adivinarlo mirando el contenido; un fichero subido por un usuario puede así acabar ejecutándose como si fuera un guion. La cabecera que lo impide es X-Content-Type-Options con el valor nosniff.

Cabecera	Qué evita
X-Content-Type-Options: nosniff	Que el navegador adivine el tipo de contenido e interprete como guion algo que no lo es.
Content-Security-Policy	Que se ejecute un guion inyectado, limitando de qué orígenes puede cargarse cada cosa.
Strict-Transport-Security	Que el navegador vuelva a conectar por un canal sin cifrar.
X-Frame-Options o la directiva equivalente de la política de contenidos	Que la página se incruste en un marco ajeno para engañar al usuario.
Referrer-Policy	Que se filtren direcciones internas al navegar hacia fuera.

⚠️ Y una que aparece como distractor: X-XSS-Protection es una cabecera obsoleta, retirada de los navegadores modernos, y hoy la recomendación es desactivarla y confiar en la política de seguridad de contenidos. Ofrecerla como solución es la trampa.

14.7. Secretos, dependencias y despliegue

• Los secretos nunca en el repositorio. Ni claves, ni contraseñas, ni certificados: van en variables de entorno o, mejor, en un gestor de secretos con rotación y auditoría. Un secreto subido por error hay que darlo por comprometido y rotarlo, aunque se borre el commit: queda en el historial.
• Dependencias al día y con inventario, con análisis automático en cada construcción y una política de actualización que no dependa de la buena voluntad.
• Entornos separados: desarrollo, preproducción y producción, sin datos reales fuera de producción o, si hacen falta, anonimizados.
• Cadena de construcción reproducible y firmada, para que lo que se despliega sea exactamente lo que se revisó.

14.8. DevSecOps

Es el nombre que recibe llevar todo lo anterior a la cadena automatizada: la seguridad se integra en la integración y la entrega continuas, de modo que un fallo grave detiene la construcción igual que lo hace una prueba que falla. Su lema —desplazar a la izquierda— resume la razón económica: cuanto antes se detecta un defecto de seguridad, más barato resulta corregirlo, y encontrarlo en producción cuesta órdenes de magnitud más que encontrarlo en el editor.

15. Cuadros para memorizar

15.1. Las tres listas que el tribunal cruza

Lista	Cuántos	Nombres
Principios de WCAG	4	Perceptible, operable, comprensible, robusto.
Principios del diseño universal	7	Uso equitativo, uso flexible, uso simple e intuitivo, información perceptible, tolerancia al error, escaso esfuerzo físico, tamaño y espacio adecuados.
Heurísticos de Nielsen	10	Visibilidad del estado, correspondencia con el mundo real, control y libertad, consistencia, prevención de errores, reconocer antes que recordar, flexibilidad y eficiencia, diseño minimalista, recuperarse de los errores, ayuda y documentación.

15.2. Las siglas de la accesibilidad

Sigla	A quién obliga
WCAG	Al que publica el contenido.
ATAG	Al que fabrica la herramienta de autor: debe ser accesible Y generar contenido accesible.
UAAG	Al que fabrica el agente de usuario, es decir, el navegador.
WAI-ARIA	Al que programa componentes dinámicos.
EN 301 549	Norma europea de requisitos de accesibilidad TIC; incorpora WCAG.

15.3. Los números

Cifra	A qué corresponde	Norma
20 días hábiles	Plazo para responder a una queja o solicitud de información accesible	RD 1112/2018
AA	Nivel de conformidad exigido al sector público	Norma armonizada y RD 1112/2018
4,5 a 1	Contraste mínimo del texto normal (nivel AA)	WCAG
3 a 1	Contraste mínimo del texto grande (nivel AA)	WCAG
200 %	Ampliación del texto sin pérdida de contenido	WCAG
3 destellos por segundo	Límite para evitar crisis epilépticas	WCAG
1 vez al año	Actualización mínima de la declaración de accesibilidad	Art. 15 RD 1112/2018
3 informes anuales	Los que prepara cada Unidad responsable, antes del 1 de octubre	Art. 19 RD 1112/2018
5	Dimensiones de la seguridad del Esquema Nacional	RD 311/2022
3-2-1	Regla de las copias de seguridad	Buena práctica

16. Lo que ya ha preguntado el tribunal

Año	Qué preguntó	Respuesta
2023	Qué es WCAG	Las pautas que explican cómo hacer más accesible el contenido web.
2023	El principio que exige que los componentes y la navegación se puedan manejar	Operable.
2023	Afirmación NO correcta sobre los estándares PDF	Hay que distinguir PDF/A (archivo) de PDF/UA (accesibilidad).
2024	Qué es ATAG	Las normas que deben cumplir las herramientas de autor para ser accesibles y generar contenidos accesibles.
2024 (anulada)	Un principio del diseño universal	Con «robustez» e «información operable» como trampas: son de WCAG.
2024	Plazo de respuesta a quejas y solicitudes de información accesible	Veinte días hábiles.
2024	Cuál NO es un principio de Nielsen	Hay que llevarse los diez.
2024	Análisis estático del código para hallar vulnerabilidades	SAST.
2026	Contenido accesible según el art. 3 del RD 1112/2018	Incluye documentos descargables y los procesos de identificación, autenticación, firma y pago.
2026	Diseño universal según la Directiva 2016/2102	Sin adaptación ni diseño especializado, pero sin excluir los dispositivos de apoyo.
2026	Práctica que previene la inyección y las secuencias de órdenes	Validación y saneamiento de las entradas.
2026	Cabecera contra el rastreo del tipo de contenido	X-Content-Type-Options: nosniff.
2026	Propósito del atributo HttpOnly	Impedir que los guiones del cliente accedan a la cookie.

La lectura de conjunto es clara: la mitad de accesibilidad se pregunta por siglas y por plazos, y la mitad de seguridad por técnicas con nombre propio. No hay preguntas de opinión ni de sentido común en todo el tema.