Seguridad

Arquitectura

UptimeGlobe funciona sobre una plataforma serverless totalmente gestionada, operada por un proveedor de infraestructura de primer nivel. No tenemos servidores de larga duración propios, ni accesos SSH que rotar, ni sistemas operativos que parchear: toda una categoría de vulnerabilidades simplemente no forma parte de nuestra superficie. Todo el tráfico, tanto el de cara al usuario como el interno, viaja cifrado con TLS.

Tu cuenta

• Las contraseñas se guardan como hash con PBKDF2-SHA256 (100.000 iteraciones, sal por usuario). Nunca almacenamos ni registramos una contraseña en texto plano, y las respuestas de inicio de sesión están diseñadas para que no se pueda averiguar por los tiempos si una cuenta existe.
• La autenticación en dos pasos (TOTP) está disponible para todas las cuentas, incluido el plan gratuito.
• Las sesiones usan un token de corta duración de 15 minutos más un token de renovación rotativo de un solo uso. Reutilizar un token de renovación ya rotado, señal típica de una sesión robada, revoca todas las sesiones de la cuenta. Los cambios y restablecimientos de contraseña hacen lo mismo.
• Protección contra bots: el registro y el inicio de sesión se filtran para detectar abusos automatizados sin que tengas que resolver un CAPTCHA.

Tus credenciales y tus datos

• Las credenciales de notificación (tokens de Slack, URL de webhooks, claves de proveedores de SMS) se almacenan cifradas con AES-256-GCM con una clave guardada fuera de la base de datos. La API las devuelve ocultas, y los mensajes de error se depuran para que una integración que falla no pueda filtrar su propio secreto.
• El aislamiento entre organizaciones se aplica en la propia capa de acceso a datos: cada consulta sobre datos de una organización se limita automáticamente a la tuya, y nuestros linters rechazan el código que se salta esa pasarela. No depende de que cada endpoint se acuerde de hacerlo.
• Las claves de API tienen permisos por recurso y por acción (lectura/escritura), se muestran una sola vez al crearlas, se guardan como hash y se pueden revocar en cualquier momento.
• Datos de pago: los datos de la tarjeta nunca pasan por nuestros sistemas. Cuando la facturación de pago esté activa, el pago y el almacenamiento de las tarjetas los gestiona un proveedor de pagos especializado.

Derechos sobre los datos

Puedes exportar tus datos y eliminar tu cuenta; la eliminación es un borrado definitivo real de los datos de tu organización, no una simple marca. Más detalles en la política de privacidad.

Estado de cumplimiento

UptimeGlobe todavía no cuenta con la certificación SOC 2 ni ISO 27001: somos un producto en fase inicial dirigido por su fundador y no vamos a fingir lo contrario. Esta página describe los controles reales que existen hoy y se actualiza a medida que evoluciona nuestra postura.

Informar de una vulnerabilidad

¿Has encontrado algo? Usa el formulario de contacto: elige el tema Otro tema y empieza tu mensaje con «SECURITY». Incluye los pasos para reproducirlo y el impacto que crees que tiene. Confirmaremos la recepción en un plazo de 2 días laborables, te mantendremos informado mientras lo corregimos y te daremos el crédito si lo deseas. No accedas a los datos de otros usuarios durante tus pruebas: una prueba de concepto con tu propia cuenta siempre es suficiente.