Infraestructura
- Despliegue en contenedores Docker vía Kamal
- Centros de datos Hetzner en la UE (Alemania)
- Encriptación TLS/SSL vía Let's Encrypt
- Proxy inverso Thruster con caché HTTP
- Ejecución de contenedores sin privilegios de root
Encriptación de Datos
- Tokens OAuth encriptados en reposo (Active Record Encryption)
- TLS 1.2+ para todos los datos en tránsito
- Hash de contraseñas con bcrypt con factores de costo apropiados
- Sin credenciales en texto plano almacenadas en ningún lugar
- Respaldos de base de datos encriptados
Controles de Acceso
- Acceso basado en roles (Admin, Gerente, Especialista, Observador)
- Permisos con alcance de espacio de trabajo por cliente
- Gestión segura de sesiones con expiración
- Flujo de invitación de equipo con verificación basada en tokens
- Registro de auditoría para acciones administrativas
Seguridad de la Aplicación
- Protección CSRF en todas las solicitudes que cambian estado
- Prevención de inyección SQL vía consultas parametrizadas
- Protección XSS con escape automático de salida
- Encabezados de Content Security Policy
- Auditorías regulares de dependencias (bundler-audit, Brakeman)
Seguridad de Terceros
Nos integramos con servicios de terceros de confianza que mantienen sus propios estándares rigurosos de seguridad:
- Meta APIs — Todos los payloads de webhooks son verificados usando validación de firma para asegurar autenticidad
- Stripe — Certificado PCI DSS Nivel 1. Nunca almacenamos, procesamos ni transmitimos datos de tarjeta en nuestros servidores
- MercadoPago — Cumple con PCI DSS. Los datos de pago son manejados completamente por su infraestructura segura
Respuesta a Incidentes
En caso de un incidente de seguridad:
- Detección — Monitoreo continuo y alertas para actividad sospechosa
- Investigación — Evaluación inmediata del alcance, impacto y causa raíz
- Notificación — Los clientes afectados serán notificados dentro de las 72 horas, en cumplimiento con GDPR y las regulaciones aplicables
- Remediación — Acción rápida para contener, resolver y prevenir la recurrencia
Divulgación Responsable
Valoramos el trabajo de los investigadores de seguridad. Si descubres una vulnerabilidad en nuestra plataforma, por favor repórtala de forma responsable. Nos comprometemos a confirmar la recepción de tu reporte dentro de las 48 horas y a trabajar contigo para resolver el problema.