Cómo se cuidan sus datos

Nada suyo está expuesto a internet

Los servicios corren en un servidor propio y ninguno abre un puerto al exterior. Esto no es una precaución de más: cuando un contenedor publica un puerto, Docker inserta sus reglas de cortafuegos por delante de las del sistema, así que ese puerto queda alcanzable desde internet aunque el cortafuegos lo esté negando. Es un fallo silencioso y frecuente.

• Ningún servicio publica puertos. Se comprueba en cada revisión, no se da por hecho.
• El tráfico entra por un túnel cifrado de Cloudflare, que sale del servidor hacia fuera: no hay ninguna puerta hacia dentro que forzar.
• Las bases de datos viven en una red interna separada. El túnel no puede verlas ni por nombre.
• Acceso por SSH solo con clave, sin contraseña, sin root y con límite de intentos.

Cada consola pide identidad, y se verifica de verdad

Entrar a cualquier panel exige pasar antes por Cloudflare Access. Y la aplicación no se fía de que Cloudflare diga quién es usted: comprueba la firma criptográfica de esa afirmación contra las claves públicas del proveedor.

• La cabecera con el correo del usuario nunca se usa como prueba. Es texto plano, y cualquier proceso de la red interna podría escribirla y entrar en nombre de otro. Solo la firma demuestra algo.
• Si la autenticación no está configurada, la aplicación no sirve nada y responde que está cerrada. Falla cerrada a propósito: una consola abierta por un despliegue mal hecho es peor que una caída, porque nadie se entera.
• Los permisos se cierran en cada dirección, no escondiendo el enlace del menú. Quien no debe ver los costos recibe un 403 aunque escriba la dirección a mano.
• Cerrar sesión cierra la del borde, no solo la cookie local.

Hay copias, están cifradas y se han probado restaurándolas

Una copia de seguridad que nadie ha restaurado nunca es una suposición. La de aquí se restauró de verdad: se borró la copia local, se bajó la de fuera, se descifró y se levantó en una base limpia para comprobar que los datos estaban completos.

• Copia diaria y automática, cifrada con AES-256 antes de salir del servidor.
• Siete copias en el servidor y treinta fuera de él, en almacenamiento de otro proveedor.
• Si la copia falla, avisa. Y si deja de ejecutarse, también avisa — que es el fallo que de verdad pasa desapercibido.
• La restauración se ensaya contra una base desechable y aislada, sin tocar nada de producción.

Queda registrado quién entró y qué miró

En los sistemas que guardan datos de personas, cada acceso queda anotado con el usuario, lo que consultó, lo que cambió y la dirección real desde la que lo hizo.

• Se guarda la IP real del visitante, no la del propio servidor, que es el error habitual cuando hay un proxy delante y convierte el registro en inútil.
• El registro de accesos solo lo ve quien administra.
• Los servicios que escriben en la base entran con permisos mínimos: el asistente automático puede anotar lo que ocurre y no puede releer una sola conversación que haya escrito.

Sus datos y los nuestros no se mezclan

Los datos de cada cliente viven en su propia base de datos, en su propio contenedor. No es una separación por carpetas dentro de un sistema compartido.

• El día que quiera llevarse su base, se entrega entera y sin filtrar nada, porque dentro no hay nada de nadie más.
• Lo que registramos de nuestra propia operación está en un sistema aparte y no se entrega con ningún proyecto.

Habeas data, con constancia y no con una casilla

La Ley 1581 de 2012 exige autorización expresa para tratar datos personales. Una casilla marcada, por sí sola, no prueba nada.

• De cada formulario enviado se guarda la autorización con fecha y hora exactas, el origen y el idioma en que se mostró.
• La web no registra a visitantes anónimos en ningún servidor. Lo que se sabe de cómo llegó alguien vive en su propio navegador y solo viaja si esa persona decide escribirnos.
• No hay cookies de seguimiento de terceros para publicidad personalizada.

Si algo se cae, lo sabemos antes que usted

Cada cinco minutos, un vigilante comprueba que los servicios responden y avisa por dos vías distintas si algo falla.

• La comprobación exige que el servicio conteste con algo que solo él podría contestar. Un código de respuesta correcto no basta: los sistemas protegidos contestan correctamente desde la red de Cloudflare aunque el servidor esté apagado, y un vigilante que se fíe de eso da luz verde durante una caída total.
• También avisa si el disco se llena o si una copia de seguridad deja de correr.
• El vigilante se prueba rompiendo cosas a propósito, de una en una, para confirmar que avisa de verdad.

Se puede comprobar

Nada de lo anterior es una promesa de folleto: cada punto corresponde a una decisión concreta del sistema y se puede enseñar funcionando. Si está evaluando a quién le entrega los datos de su empresa, pida ver esto — a nosotros o a quien sea.