Seguridad de la Plataforma
1. Principios de Seguridad por Diseño
La seguridad de la información y la protección de los datos de nuestros usuarios son un pilar central en la arquitectura de nuestra plataforma. Aplicamos medidas técnicas y organizativas proporcionadas al riesgo conforme al Artículo 32 del RGPD:
- Cifrado de Extremo a Extremo en Tránsito: Todas las comunicaciones entre el cliente, nuestra infraestructura y las APIs de Meta se transmiten mediante canales cifrados utilizando protocolos modernos TLS 1.3 con certificados gestionados por Cloudflare.
- Cifrado en Reposo de Credenciales y Tokens: Los tokens de acceso emitidos por Meta nunca se guardan en texto plano en la base de datos ni se exponen al cliente web. Se almacenan aplicando cifrado a nivel de aplicación con claves gestionadas de forma segura.
- Aislamiento de Entornos y Secretos: Los secretos de la aplicación (incluyendo
META_APP_SECRET) se inyectan como variables de entorno seguras o Cloudflare Secrets, nunca se incluyen en el repositorio de control de versiones y jamás se filtran a la capa de cliente. - Mínimo Privilegio (Least Privilege): El acceso a bases de datos y servicios externos se restringe de forma estricta a los permisos indispensables para la ejecución del código.
- Sanitización y Redacción en Logs: Nuestros motores de registro redactan automáticamente direcciones de correo electrónico, tokens de autenticación y datos de cabecera sensibles para evitar su persistencia en herramientas de monitorización.
- Auditoría Automatizada de Dependencias: Ejecutamos comprobaciones continuas de vulnerabilidades en las librerías del proyecto para prevenir riesgos de la cadena de suministro de software.
2. Reporte Responsable de Vulnerabilidades
Agradecemos la colaboración de investigadores de seguridad independientes y de la comunidad técnica para mantener nuestros sistemas seguros. Si consideras haber hallado una potencial vulnerabilidad de seguridad en nuestra infraestructura, te invitamos a comunicárnoslo de manera responsable siguiendo estas pautas:
- Envía los detalles técnicos, pasos de reproducción o prueba de concepto a [EMAIL SOPORTE].
- Concede un plazo prudencial para que analicemos y apliquemos el parche antes de divulgar públicamente cualquier información.
- No ejecutes ataques de denegación de servicio (DoS), no intentes acceder a datos de otros usuarios ni destruyas información en producción.
Disponemos asimismo del estándar oficial para investigadores en /.well-known/security.txt.