Diseñado para mantener sus datos seguros
La seguridad no es una ocurrencia de último momento en Aideworks. Así es como protegemos su cuenta, los datos de sus clientes y el canal de monitorización.
Infraestructura exclusivamente de la UE
Todos los datos se procesan y almacenan en servidores dentro de la Unión Europea. No se transfieren datos a Estados Unidos ni a otros terceros países. Esto cumple los requisitos de residencia de datos del RGPD sin configuración ni soluciones alternativas.
Seguridad de la cuenta
MFA obligatorio para todas las cuentas
Cada cuenta basada en contraseña debe registrar una aplicación de autenticación TOTP (Google Authenticator, Authy, 1Password, etc.) antes de acceder al panel. Esto se aplica en la puerta de enlace de API, no solo en la interfaz de usuario, por lo que no se puede eludir.
Cookies HttpOnly Secure
Su token de sesión se almacena en una cookie httpOnly, Secure, SameSite, nunca en localStorage ni en almacenamiento accesible por JavaScript. Los scripts no pueden leerlo ni robarlo.
Rotación de tokens de actualización con detección de robo
Cada renovación de sesión emite un nuevo token e invalida el anterior. Si se reutiliza un token robado, toda la familia de sesiones se revoca inmediatamente, protegiéndole incluso si un dispositivo está comprometido.
Firma JWT asimétrica RS256
Los tokens se firman con una clave privada y se verifican con una clave pública separada. No hay secreto compartido que pueda filtrarse entre servicios.
Recuperación de cuenta anclada al teléfono
Los restablecimientos de contraseña y autenticador requieren confirmación de los últimos cuatro dígitos de su número de teléfono registrado. No se envían SMS: su número de teléfono es un ancla de recuperación, no un segundo factor de autenticación.
Limitación de velocidad y protección contra fuerza bruta
Los endpoints de inicio de sesión, registro y restablecimiento de contraseña tienen limitación de velocidad por IP. Cinco códigos MFA incorrectos consecutivos activan un bloqueo de 15 minutos. Registramos todos los eventos de autenticación con IP y agente de usuario.
Protección de datos
Almacenamiento cifrado de credenciales
Todas las contraseñas se hashean con bcrypt (factor de costo 12). Los secretos del autenticador TOTP se cifran con AES-256-GCM antes del almacenamiento. Solo se almacena el hash de cada código de respaldo.
Solo consultas parametrizadas
Cada consulta de base de datos utiliza valores parametrizados. No hay concatenación de strings en SQL: la inyección SQL se previene estructuralmente, no solo se protege contra ella.
Anonimización automática de IP
Las direcciones IP en el registro de auditoría se anonimizan después de 90 días. Las instantáneas DNS y SSL se eliminan después de 24 meses. Recopilamos lo que necesitamos y descartamos lo que no.
Divulgación responsable
Si descubre una vulnerabilidad de seguridad en Aideworks, repórtela responsablemente a security@aideworks.com. Confirmaremos su informe en 48 horas y le mantendremos actualizado sobre el progreso de la remediación. No emprendemos acciones legales contra investigadores que actúen de buena fe.