Seguridad y confianza

Nuestros controles como proveedor

Mínimo privilegio. Pedimos solo el acceso que necesita cada tarea, durante el tiempo que lo necesita. Siempre que se puede, trabajamos a través de tus repositorios de Git y tu pipeline en lugar de directamente en los servidores.

Deploy keys de solo lectura, una por repositorio. Un servidor que descarga código recibe una clave para un repositorio, y esa clave no puede escribir.

Claves de CI atadas a un comando forzado. Las claves que usan nuestros pipelines para desplegar solo pueden ejecutar un comando. Una clave de CI filtrada puede volver a desplegar el código aprobado y nada más.

SSH solo con clave. El acceso con contraseña está desactivado en los servidores que gestionamos, y el FTP se elimina.

Backups con restauraciones probadas. Los backups están cifrados y se guardan separados de los sistemas que protegen. Los restauramos y verificamos el resultado por checksum, porque un backup sin probar es una esperanza, no un control.

Cambios solo mediante Git y pull requests. Cada cambio se revisa, se comprueba y queda registrado. Los despliegues a producción pasan por una puerta en el servidor que un pull request no puede debilitar. Mira Cómo trabajamos para la lista completa de controles de entrega.

Datos de staging saneados. Los entornos de prueba funcionan sobre una copia saneada de producción: pagos, analítica, correo y login social desactivados, y dominios reescritos.

Agentes de IA sin acceso. Usamos agentes de IA (Claude) en nuestro trabajo, solo mediante pull requests. Nunca tienen acceso al servidor, a la base de datos ni a los secretos.

No guardamos datos de clientes al terminar. Cuando acaba el trabajo, borramos las copias de trabajo y devolvemos o revocamos los accesos.

NDA si lo pides, firmado antes de que compartas nada sensible.

Nuestra propia web. Esta web no usa cookies ni rastreadores de terceros. Nuestra analítica está alojada por nosotros y no usa cookies (Umami), y las fuentes se sirven desde nuestro propio servidor.

Cómo tratamos tus credenciales

• Rotación al principio y al final. Cuando recibimos acceso, te pedimos que rotes las credenciales compartidas, o las rotamos contigo. Al terminar, se rotan o revocan todas las credenciales que usamos.
• Guardadas en un gestor de contraseñas, nunca en archivos de texto, código, correos ni notas.
• Nada de secretos en chats ni tickets. Por favor, no envíes contraseñas por correo, chat ni gestores de incidencias. Acordaremos una forma segura de compartirlas.

Divulgación responsable

Si crees que has encontrado una vulnerabilidad en nuestra web o en un sistema que operamos, escribe a hello@systemflare.com con SECURITY en el asunto.

• Describe el problema y cómo reproducirlo.
• No accedas, cambies ni borres datos que no sean tuyos, y no degrades el servicio.
• Danos un plazo razonable para corregirlo antes de hacerlo público.

Confirmamos la recepción en un máximo de 2 días laborables y te mantenemos informado mientras trabajamos en la corrección.

Cuestionarios de proveedores

Bancos, aseguradoras, empresas de pagos y otros clientes regulados a menudo tienen que evaluarnos según DORA o NIS2. Respondemos cuestionarios de proveedores si nos los pides, para el proyecto concreto, y decimos claramente dónde algo no está implantado en lugar de marcar todas las casillas.

Lo que no afirmamos:

• No tenemos certificación ISO 27001 ni SOC 2.
• Implantamos controles para PCI DSS, DORA y NIS2, pero no somos QSA, no somos proveedor acreditado de TLPT y no certificamos a nadie.