Seguridad

1.Nuestro enfoque

Esta página describe las medidas de seguridad que aplicamos hoy. Es una descripción sencilla de lo que hacemos, no una certificación. Si tu equipo necesita más detalle para una revisión de seguridad, escribe a [email protected].

2.Dónde se guardan tus datos

• La aplicación, la base de datos, el almacenamiento de archivos y las copias de seguridad funcionan en servidores que opera Caudals en Hetzner, en Alemania.
• Por defecto, las preguntas de prueba se redactan y las respuestas se califican con un modelo de IA que funciona en nuestro propio servidor de GPU, conectado a nuestro alojamiento mediante un túnel privado cifrado. Tu contenido solo va a un proveedor comercial de IA si tu espacio de trabajo elige uno, o en la prueba pública gratuita cuando nuestro modelo está ocupado.
• La base de datos y el almacenamiento de archivos no son accesibles desde internet.

3.Cifrado

• Todo el tráfico con nuestras webs y nuestra API usa HTTPS (TLS).
• Las credenciales que nos das para acceder a tus sistemas, como claves de API y cabeceras, las cifra la aplicación con AES-256-GCM antes de guardarlas, vinculadas a tu espacio de trabajo, y solo las descifra el proceso que las necesita. Las credenciales introducidas en la prueba pública gratuita nunca se guardan.
• Las contraseñas se guardan solo como hashes con sal.
• Las copias de seguridad se cifran con AES-256.

4.Separación entre clientes

• Los datos de cada espacio de trabajo se mantienen separados en la base de datos mediante seguridad a nivel de fila. La aplicación se conecta con un rol restringido que no puede saltarse esas reglas, y cada tarea en segundo plano se ejecuta dentro del ámbito de su propio espacio de trabajo.
• Los informes solo se comparten mediante enlaces privados, que puedes hacer caducar y revocar en cualquier momento.
• Los expertos que trabajan en un encargo solo ven el material que necesita su tarea, con los datos personales ocultados.

5.Control de acceso

• Los miembros de un espacio de trabajo tienen el rol de propietario, editor o lector, y el servidor comprueba el rol de la persona en cada acción.
• El acceso del personal de Caudals a los espacios de trabajo de los clientes se limita a roles de plataforma y queda registrado en un registro de auditoría.
• Nuestros servidores solo se pueden administrar a través de una red privada con autenticación por clave. No hay acceso SSH ni a la base de datos desde internet.

6.Probar otros sistemas de forma segura

• Los chats de webs se prueban en un proceso de navegador aislado cuyo tráfico pasa por un proxy que solo permite destinos HTTPS públicos.
• La prueba pública gratuita comprueba cada dirección y cada redirección, limita el tiempo y el tamaño de cada petición y lee como máximo seis páginas de un sitio.
• Solo hacemos preguntas normales. No eludimos CAPTCHA ni inicios de sesión: cuando una web necesita a una persona, la ejecución la espera. Nunca hacemos pruebas adversarias sin la autorización por escrito del titular del sistema.

7.Conservar solo lo necesario

• Las pruebas públicas gratuitas se eliminan a los siete días, igual que las capturas de pantalla tomadas al probar chats de webs.
• Al eliminar un espacio de trabajo se revocan sus enlaces compartidos y sus credenciales, se detienen sus tareas y se borra su contenido de nuestros sistemas activos, conservando solo un registro mínimo de que se eliminó.
• Las copias de seguridad diarias ordinarias se cifran y se conservan aproximadamente una semana. Los archivos restringidos de recuperación pueden conservarse más tiempo. Hemos ensayado la restauración en un entorno aislado.

8.Monitorización y desarrollo

• La monitorización de errores puede activarse con Sentry en su región de datos de la UE. La integración excluye los datos personales por defecto.
• Los puntos de acceso públicos tienen límites de peticiones, y la prueba pública gratuita usa una prueba de trabajo en lugar de un CAPTCHA de terceros.
• Las acciones importantes, como los cambios de roles, presupuestos, enlaces compartidos y eliminaciones, quedan en un registro de auditoría.
• Nuestro proceso de publicación incluye comprobaciones de tipos, pruebas y revisiones de datos sensibles. Se revisan las actualizaciones de las dependencias.

9.Informar de una vulnerabilidad

Si encuentras un problema de seguridad, escribe a [email protected] con «Seguridad» en el asunto. Danos un plazo razonable para corregirlo antes de hacerlo público, y no accedas a datos de otras personas ni interrumpas el Servicio mientras lo investigas. Acusaremos recibo de tu aviso y te mantendremos informado.