Panel de pacientes de LVV Laboratorio

Entregar el resultado de un análisis parece un problema de logística y es, en realidad, un problema de seguridad. Un estudio de laboratorio es un dato de salud: de lo más sensible que maneja cualquier empresa, y de lo que peor tolera una filtración, porque no se puede dar de baja ni cambiar como una tarjeta. Las dos formas más cómodas de entregarlo —un PDF por correo y un archivo adjunto en un chat— son también las dos peores.

Para LVV construimos un panel propio donde cada paciente consulta sus estudios, y la decisión de diseño que ordena todo lo demás fue la primera: el panel no tiene contraseña.

Sin contraseña, a propósito

El acceso es en dos pasos. El paciente ingresa su DNI y recibe un código de un solo uso en el WhatsApp del número que tiene registrado en el laboratorio. Sin ese código no entra.

El razonamiento es simple y vale la pena explicitarlo: un DNI no es un secreto. Lo tiene cualquiera que haya visto una factura, una orden médica o una credencial de obra social. Así que no puede ser la llave de nada por sí solo. El código convierte el acceso en algo que además hay que tener —el teléfono— y no solamente saber.

• No hay contraseña que robar, adivinar, reutilizar en otro sitio ni filtrar en una base de datos. La clase entera de ataques por contraseña reutilizada, que es de donde sale la mayoría de los accesos indebidos, simplemente no aplica.
• El código sirve una vez y vence. Interceptarlo más tarde no sirve para nada.
• El paciente no tiene que recordar nada ni aprender un sistema nuevo: usa el mismo WhatsApp por el que ya habla con el laboratorio.
• El laboratorio no guarda contraseñas, así que tampoco puede perderlas.

Los estudios, cifrados

Todo el tráfico va obligatoriamente por HTTPS: la versión sin cifrar redirige y el sitio declara HSTS con subdominios incluidos, así que el navegador se niega a conectarse en claro incluso si alguien lo fuerza. Los resultados se guardan cifrados y se descifran únicamente para el paciente que ya verificó su identidad.

Y hay un detalle que se pasa por alto casi siempre: el panel responde con no-store. El resultado no queda guardado en la caché del navegador ni en ningún intermediario, así que si el paciente entró desde una computadora compartida o desde el celular de otra persona, al cerrar no queda nada atrás.

Las seis medidas del panel

Con un cliente así la seguridad no es una capa que se agrega al final. Estas son las medidas concretas que tiene el panel, todas verificables desde afuera por cualquiera que revise las cabeceras del sitio:

• Política de contenidos restrictiva. El navegador sólo puede cargar recursos del propio sitio; los objetos embebidos están bloqueados y los formularios no pueden enviarse a ningún otro dominio. Es lo que corta de raíz la inyección de scripts.
• Imposible de embeber. El panel no se puede meter dentro de un iframe en otro sitio, que es la forma clásica de engañar a alguien para que haga clic donde no quiere.
• Permisos del navegador cerrados. Cámara, micrófono, ubicación, pagos y USB están deshabilitados explícitamente. El panel no los necesita, así que no los puede pedir.
• Nada de adivinar tipos de archivo. El navegador respeta el tipo que declara el servidor y no intenta interpretar un archivo como si fuera otra cosa.
• Fuera de los buscadores. El panel está marcado como no indexable y excluido en el robots.txt, junto con la administración y la API. No aparece en Google ni queda archivado en ninguna caché pública.
• Referencias controladas. Al salir del panel hacia otro sitio no se filtra la dirección exacta que el paciente estaba viendo.

El grado de seguridad que exige este tipo de cliente

Ninguna de estas cosas se nota cuando entrás a ver un análisis, y ese es exactamente el punto. Un paciente no tiene por qué entender de políticas de contenido ni de cabeceras: tiene que poder ver su estudio en dos toques y confiar en que nadie más lo está viendo.

Es la diferencia entre un sistema que le ahorra tiempo al laboratorio y uno que le ahorra tiempo mientras lo expone. En un rubro que maneja historia clínica esa diferencia no es un detalle técnico: es el servicio. El aviso de que el estudio está listo lo manda la automatización de comunicación con IA, que trabaja sobre este panel.