Seguridad
Esto es lo que el sitio hace hoy para cuidar tu cuenta y tus datos. Solo decimos lo que podemos comprobar, y abajo está lo que todavía no tenemos.
Lo que hacemos hoy
Conexión cifrada
Todo el sitio se sirve por HTTPS y le indicamos a tu navegador que no use otra conexión (HSTS) (Privacidad, sección 46).
Sesiones
Tu sesión se identifica con un código aleatorio del que solo guardamos una huella, no el código. La cookie es HttpOnly, Secure y SameSite Lax, y su prefijo __Host- impide que otro subdominio la fije o la pise. Puedes cerrar todas tus sesiones desde Seguridad en tu panel (Privacidad, sección 10).
Contraseñas
Se guardan con PBKDF2 y una sal aleatoria distinta para cada contraseña, nunca en texto plano. Las contraseñas nuevas piden al menos 10 caracteres (Privacidad, sección 10).
Protección del navegador
Cada respuesta lleva una política de seguridad de contenido con un código único (nonce): solo se ejecutan los scripts que la tienda marcó con ese código. Además, el sitio no se puede incrustar dentro de otra página.
Pagos con Stripe
El número de tu tarjeta no pasa por nuestros servidores ni queda en nuestra base de datos (Privacidad, sección 26).
Cada empresa ve solo lo suyo
La empresa a la que pertenecen los datos se toma de tu sesión, nunca de lo que envía el navegador. Una empresa no puede leer los datos de otra a través del servicio (Privacidad, sección 10).
Respaldos semanales
Hacemos un respaldo completo de la base de datos cada semana, en un almacenamiento privado separado. Se sobrescriben solos en un máximo de 35 días (Privacidad, sección 9).
Acceso interno
El panel interno de administración está detrás de Cloudflare Access y de una clave propia, y el acceso administrativo queda en un historial de auditoría (Privacidad, sección 10).
Verificación contra bots
Los formularios de registro, contacto y recuperación de contraseña, y el inicio de sesión tras varios intentos fallidos, usan la verificación Turnstile de Cloudflare (Privacidad, sección 25).
Tus datos, bajo tu control
El dueño de la cuenta puede descargar sus cotizaciones y compras (CSV) o todo en un archivo JSON, y puede eliminar la cuenta desde Seguridad en su panel. Los datos se borran de forma definitiva a los 30 días; solo se conserva el registro de los pagos (Privacidad, sección 9).
Política de privacidad →Tratamiento de datos →Términos →
Qué te contamos si hay un incidente: Privacidad, sección 36.
Reportar una vulnerabilidad
Si encontraste un problema de seguridad, escríbenos a soporte@ismiro.com con qué encontraste, dónde y cómo reproducirlo. Te pedimos no compartir el detalle de forma pública hasta que lo hayamos revisado.
Lo que todavía no tenemos
- Certificaciones de seguridad: no tenemos SOC 2 ni ISO 27001.
- Verificación en dos pasos propia: las cuentas entran con contraseña o con Google.
- Página de estado del servicio: todavía no la tenemos.
- Cifrado de almacenamiento propio: dependemos del cifrado de nuestro proveedor de infraestructura en la nube (Privacidad, sección 46).