Seguridad

1. Infraestructura#

• La aplicación corre en Vercel y la base de datos, la autenticación y los archivos en Supabase (AWS, región us-west-2), proveedores con programas de seguridad y certificaciones propias.
• Todo el tráfico va cifrado con HTTPS (TLS); el sitio exige HTTPS con HSTS. Los datos en la base de datos y en el almacenamiento están cifrados en reposo por el proveedor.
• Las claves y secretos se guardan como variables de entorno del servidor y nunca se envían al navegador.

2. Control de acceso#

• Cuentas: las contraseñas se guardan sólo como hash irreversible (Supabase Auth). Las sesiones usan tokens firmados que caducan y se renuevan.
• Aislamiento de datos: la base de datos aplica seguridad a nivel de fila (RLS): cada consulta sólo puede ver los eventos de los espacios de trabajo a los que perteneces, con roles (propietario, administrador, editor, lector…).
• Cada endpoint declara quién puede usarlo (usuario, miembro del evento con un rol, personal con PIN, público con motivo documentado) y una batería de pruebas automáticas impide añadir endpoints sin esa declaración.
• Invitaciones personales: se abren con un enlace que contiene un token aleatorio largo, imposible de adivinar en la práctica.
• Códigos QR de acceso: firmados criptográficamente (HMAC), para que no se puedan falsificar.
• Personal de puerta: entra con un PIN numérico por evento, con límite de intentos, y recibe un acceso temporal de 12 horas.
• Personal de Passly: acceso mínimo y sólo cuando es necesario para soporte, seguridad o cumplimiento legal.

3. Seguridad de la aplicación#

• Límites de intentos (rate limiting) en el inicio de sesión, el RSVP, las subidas y otros puntos sensibles, para frenar abusos y ataques de fuerza bruta.
• Cabeceras de seguridad: política de seguridad de contenido (CSP), protección contra el enmarcado del sitio (clickjacking), nosniff, política de referente estricta y política de permisos.
• Validación de todos los datos que llegan a la API y protección contra envíos automáticos en formularios públicos.
• Archivos: las fotos de la galería y los documentos de los eventos se guardan en almacenamiento privado y se sirven con enlaces temporales firmados. Las subidas tienen límite de tamaño y tipo, y eliminamos los metadatos de ubicación (GPS) de las fotos.
• Pagos: los datos de tarjeta los procesa exclusivamente Stripe (certificado PCI DSS nivel 1); nunca pasan por nuestros servidores. Los avisos de Stripe se verifican con firma.
• Registros: registramos eventos técnicos y de seguridad sin guardar correos, teléfonos, datos de salud ni tokens; las direcciones IP se guardan sólo como un código cifrado no reversible.

4. Privacidad desde el diseño#

• Las invitaciones no cargan analítica de terceros; el mapa y la música sólo se conectan con terceros si el invitado los activa.
• Las funciones de IA que manejan datos personales usan un proveedor que no entrena con ellos, y los resultados con datos de invitados no se guardan en caché.
• Purgas automáticas diarias según la Política de Retención.

5. Gestión de incidentes#

Si detectamos una brecha de seguridad que afecte datos personales, la contenemos, investigamos su alcance y avisamos sin demora indebida a los anfitriones afectados, a las personas afectadas cuando su riesgo lo justifique y a las autoridades cuando la ley lo exija (en la UE, en un máximo de 72 horas).

6. Reportar una vulnerabilidad#

Si encuentras una vulnerabilidad, escríbenos a [PENDIENTE: Correo de seguridad (p. ej. seguridad@wepassly.com)] con los pasos para reproducirla. Te pedimos que no accedas a datos de otras personas más allá de lo mínimo para demostrarla, que no afectes la disponibilidad del servicio y que nos des un plazo razonable para corregirla antes de publicarla. No emprenderemos acciones legales contra quien investigue de buena fe siguiendo estas reglas. Nuestro archivo security.txt tiene estos datos en formato estándar.

7. Tu parte#

Usa una contraseña larga y única, no compartas tu cuenta, comparte el PIN de staff sólo con tu equipo de puerta, retira el acceso a quien ya no colabore contigo y cierra sesión en dispositivos compartidos (Ajustes → Seguridad → «Cerrar sesión en todos los dispositivos»).