volver al inicio
cómo cuidamos tus datos

seguridad transparente.

Te decimos qué protecciones tenemos activas y bajo qué estándar cumplen. También listamos lo que viene en el roadmap — sin esconder lo que falta.

8 protecciones activas4 en roadmap

Protecciones activas hoy

Cada protección cumple con un estándar reconocido de la industria. No detallamos la implementación interna por seguridad — el detalle técnico se comparte con auditores y equipos de compliance bajo acuerdo de confidencialidad.

activoAES-256 · estándar gubernamental

Cifrado fuerte para tus documentos íntimos

  • Tus documentos sensibles (CURP, INE, foto de identidad) se almacenan cifrados con un algoritmo de grado militar.
  • La clave maestra vive en una zona aislada del servidor y no en la base de datos.
  • Si alguien lograra exfiltrar la base de datos, los archivos son criptográficamente inservibles.
  • Cualquier modificación no autorizada del archivo cifrado es detectada al descifrarlo.
activoIETF RFC 8446 · OWASP TLS Cheat Sheet

Tráfico cifrado de extremo a extremo

  • Toda comunicación entre tu navegador y nuestros servidores usa la última versión del estándar de internet.
  • Las versiones obsoletas y vulnerables del protocolo están bloqueadas a nivel de red.
  • Las cookies de sesión están endurecidas para resistir robo por scripts maliciosos en la página.
  • Defensa en profundidad contra clickjacking, MIME sniffing y referencias filtradas.
activoOWASP ASVS L2 · NIST SP 800-63B

Passwords blindados

  • Tu contraseña nunca se almacena en texto claro — solo una huella criptográfica irreversible.
  • Exigimos un mínimo de fortaleza al registrarte y al hacer reset.
  • Restablecer la contraseña invalida cualquier sesión previa de tu cuenta.
  • No transmitimos ni mostramos tu contraseña en logs, respuestas de API ni correos.
activoNIST SP 800-63B · OWASP Authentication

Defensa contra fuerza bruta y secuestro

  • Múltiples intentos fallidos disparan un bloqueo temporal automático.
  • Si entras desde una IP nueva, recibes un correo al instante con detalles de la sesión.
  • Mantenemos una lista de tus dispositivos reconocidos para que detectes anomalías.
  • Puedes cerrar todas tus sesiones en todos los dispositivos con un clic.
activoISO 27001 · LFPDPPP Art. 47

Trazabilidad total con audit log

  • Cada acción crítica sobre tu cuenta queda registrada (quién, cuándo, desde dónde).
  • Tienes derecho a solicitar la auditoría completa de la actividad de tu cuenta.
  • El registro alimenta nuestros sistemas internos de detección de anomalías.
  • Los datos de auditoría están protegidos contra borrado o modificación arbitraria.
activoOWASP File Upload

Análisis profundo de archivos subidos

  • Cada archivo se analiza por su contenido binario real, no por su nombre o extensión.
  • Bloqueamos vectores comunes de inyección: ejecutables disfrazados, scripts ocultos, archivos malformados.
  • Tipos y tamaños permitidos varían por endpoint según el caso de uso legítimo.
  • Los nombres internos son aleatorios — sin posibilidad de path traversal.
activoreCAPTCHA v3 · OWASP API Top 10

Anti-bot multicapa + WAF

  • Endpoints públicos protegidos con verificación invisible de humano.
  • Limitación de tasa por cliente para mitigar scraping y enumeración.
  • Cloudflare en la capa frontal aporta firewall de aplicación y mitigación DDoS.
  • Reglas anti-bot transparentes para usuarios reales — sin captchas molestos.
activoEU AI Act · GDPR Art. 22

IA explicable y auditable

  • Cada interpretación psicométrica cita la evidencia (combinación de scores) que la respalda.
  • Tienes derecho a saber por qué el sistema generó una conclusión sobre ti.
  • Puedes pedir revisión humana de cualquier decisión automatizada que te afecte.
  • Manual técnico psicométrico público con validez (Cronbach α), fiabilidad y limitaciones.
en el roadmap

Lo que aún no está — y por qué importa

Preferimos decirte qué falta antes que esconder gaps. Cada item tiene una razón clara y una fecha objetivo realista.

Doble factor (2FA)

Próxima fase

Si tu contraseña se filtrara, un segundo factor en tu dispositivo bloquea al atacante. Obligatorio para administradores cuando salga.

Backups offsite cifrados

Resiliencia operacional

Snapshots automáticos replicados a una región distinta, cifrados con clave separada. Disaster recovery con tiempos de restauración acotados.

Pentest externo + bug bounty

Antes de Empresas Scale

Auditoría profesional anual y programa de recompensas para investigadores. Cada hallazgo se publica con su fix.

Passkeys / WebAuthn

Roadmap 2026

Reemplazo de contraseñas por biometría del dispositivo. Estándar emergente 2026 (Apple, Google, Microsoft). Resiste phishing por diseño.

¿Encontraste un fallo de seguridad?

Repórtalo con responsabilidad. Respondemos en menos de 48 horas hábiles. No emprendemos acciones legales contra investigadores actuando de buena fe bajo nuestra política de divulgación.

[email protected]

Política completa en /.well-known/security.txt