La información de tu negocio es lo más valioso que nos confías. Esta página resume cómo protegemos el sitio y el portal de clientes, y cómo reportar una vulnerabilidad.
1. Medidas técnicas
- Cifrado en tránsito: todo el tráfico viaja por HTTPS (TLS) con HSTS.
- Contraseñas: se guardan solo como hash bcrypt; nunca en texto plano. Política mínima de longitud y cambio obligatorio en el primer acceso.
- Sesiones: cookie HttpOnly y SameSite, firmada y revocable desde el servidor (cerrar sesión o cambiar contraseña invalida los accesos anteriores).
- Protección contra fuerza bruta: límite de intentos por IP y por cuenta, con bloqueo temporal automático.
- Protección del navegador: Content-Security-Policy con nonce, protección contra clickjacking, MIME sniffing y peticiones de otros orígenes (CSRF).
- Aislamiento entre clientes: cada consulta del portal se filtra por la cuenta en sesión; un cliente no puede ver ni deducir información de otro.
- Archivos: solo PDF e imágenes, validados por su firma binaria; se guardan con nombre aleatorio fuera de carpetas públicas y se sirven tras verificar permisos.
- Demos y apps privadas: accesibles solo con sesión y permiso explícito; las apps compartidas nunca reciben la sesión de la plataforma.
- Infraestructura: servidor propio con contenedores aislados, base de datos sin exposición a internet y protección perimetral de Cloudflare.
2. Medidas administrativas
- Acceso del equipo por roles (administrador / equipo) y principio de mínimo privilegio.
- Notas internas del equipo separadas de lo que ve el cliente.
- Aplicación de actualizaciones de seguridad del software y sus dependencias.
3. Recomendaciones para ti
- Usa una contraseña única para el portal y un gestor de contraseñas.
- Nunca te pediremos tu contraseña por WhatsApp, correo o teléfono.
- Cierra sesión en equipos compartidos.
4. Divulgación responsable
Si encuentras una vulnerabilidad, escríbenos a [email protected] con el asunto «Seguridad». Te pedimos:
- Describir el problema y los pasos para reproducirlo.
- No acceder, modificar ni borrar datos de terceros, ni degradar el servicio (sin pruebas de denegación de servicio, spam o ingeniería social).
- Darnos un plazo razonable para corregir antes de divulgarlo públicamente.
Respondemos en un máximo de 5 días hábiles y reconocemos públicamente (si así lo deseas) los reportes válidos. Consulta también nuestro security.txt.