Seguridad

Nuestro enfoque

La seguridad no es una función. Es la base. Diseñamos Simplest1 con la seguridad como principio central, no como un añadido.

Aislamiento de datos

Los datos de cada cliente viven en su propia base de datos SQLite aislada. Esta arquitectura significa que:

• No es posible ninguna fuga de datos entre clientes a nivel de base de datos.
• Una vulnerabilidad en un espacio no puede exponer los datos de otro.
• Tus datos pueden exportarse o eliminarse por completo y de forma independiente.

Cifrado

• En tránsito: todas las conexiones usan TLS 1.3.
• En reposo: las copias de seguridad viven en Cloudflare R2, que cifra los objetos almacenados.
• Contraseñas: usamos enlaces mágicos, así que no hay contraseñas que robar ni filtrar.

Autenticación

Usamos autenticación sin contraseña mediante enlaces mágicos:

• Sin contraseñas que recordar, reutilizar o que te roben.
• Los enlaces mágicos caducan a los 15 minutos.
• Cada enlace solo puede usarse una vez.
• Las sesiones del panel duran 30 días y terminan al cerrar sesión; "cerrar sesión en todas partes" las termina todas a la vez. Las sesiones de administración de la plataforma duran 24 horas.

Infraestructura

• Alojado en infraestructura en la nube reforzada.
• Parches y actualizaciones de seguridad periódicos.
• Protección contra DDoS activada.
• Reglas de cortafuegos que restringen el acceso innecesario.

Seguridad de la aplicación

• Protección CSRF: todos los formularios están protegidos con tokens.
• Prevención de XSS: toda la salida se escapa por defecto.
• Inyección SQL: consultas parametrizadas en todo el código.
• Cabeceras de seguridad: HSTS, X-Frame-Options, nosniff y políticas de referrer y permisos.
• Limitación de tasa: protección contra ataques de fuerza bruta.

Copias de seguridad

• Copias de seguridad continuas en streaming con Litestream.
• Capacidad de recuperación a un punto en el tiempo.
• Copias guardadas en ubicaciones geográficamente separadas.
• Pruebas periódicas de restauración.

Respuesta a incidentes

En caso de incidente de seguridad:

• Avisaremos a los usuarios afectados en un plazo de 72 horas.
• Daremos una descripción clara de lo ocurrido.
• Explicaremos qué datos se vieron afectados.
• Describiremos las medidas que tomamos para evitar que se repita.

Divulgación responsable

Si descubres una vulnerabilidad de seguridad, infórmanos en [email protected]. Agradecemos la divulgación responsable y acusaremos recibo de tu informe en 48 horas.

Preguntas

¿Preguntas o dudas sobre seguridad? Escríbenos a [email protected].