Seguridad
La seguridad se decide en el servidor, siempre
Nuestra API comprueba cada solicitud: quién eres, qué te pertenece y qué tienes permitido hacer. Así protegemos tu cuenta, tu licencia y el software que descargas.
Cómo te protegemos
Defensa en cada capa
Autorización en el servidor
La API decide cada sesión, licencia, activación y descarga. Nunca protegemos nada simplemente ocultando un botón en el navegador.
Almacenamiento robusto de contraseñas
Las contraseñas se almacenan con hash Argon2id. Exigimos al menos 15 caracteres y rechazamos las contraseñas habituales y las que contienen tu dirección de correo electrónico.
Sesiones protegidas
Las cookies de sesión son HttpOnly, así que los scripts de la página no pueden leerlas. Las sesiones terminan tras un periodo de inactividad y al alcanzar un máximo fijo, y también puedes cerrarlas tú.
Protección entre sitios
Las solicitudes que modifican algo se rechazan si no proceden de este sitio web, incluso con una sesión válida.
Tokens de escritorio de corta duración
La aplicación de escritorio funciona con tokens de acceso que expiran después de 15 minutos y tokens de actualización que rotan en cada uso.
Acceso del personal con doble factor
El personal necesita un código del autenticador para iniciar sesión y otro nuevo antes de las acciones de alto riesgo. Las sesiones del personal también expiran antes.
Descargas privadas y verificadas
Los instaladores solo se entregan mediante enlaces firmados que expiran después de 5 minutos, con sumas de verificación SHA-256 calculadas en nuestros servidores.
Registro de auditoría inmutable
Las acciones sensibles se anotan en un registro de auditoría que la base de datos no permite a nadie editar ni eliminar. De nuestros registros del sistema se eliminan las contraseñas, las claves y los tokens.
Políticas estrictas del navegador
Cada página envía una Content Security Policy con un nonce nuevo, y otros sitios web no pueden incrustarla en un marco.
Límites actuales de un vistazo
- Hash de contraseñas
- Argon2id
- Longitud mínima de la contraseña
- 15 caracteres
- Sesiones de clientes
- Terminan tras 60 minutos de inactividad, 12 horas como máximo
- Sesiones del personal
- Terminan tras 15 minutos de inactividad, 8 horas como máximo
- Token de acceso de escritorio
- 15 minutos
- Enlace de descarga
- 5 minutos
- Código de activación
- 10 minutos
- Enlace de confirmación de correo
- 24 horas, de un solo uso
- Enlace para restablecer la contraseña
- 30 minutos, de un solo uso
- Integridad del instalador
- Suma de verificación SHA-256 para cada versión
Lo que nunca te pediremos
- Tu contraseña
- Tu Activation Key
- Códigos de activación de un solo uso o códigos del autenticador
- Enlaces para restablecer la contraseña o confirmar el correo