Seguridad: como protegemos tu cuenta y tus datos

Que protegemos

• Tu contrasena no se guarda en texto: se guarda cifrada con hash.
• El acceso tiene limite de intentos por cuenta y por IP; despues de varios fallos se pausa un rato.
• Las sesiones usan cookies HttpOnly, SameSite y se renueva el identificador al entrar.
• Los formularios llevan un token CSRF para que otra pagina no pueda enviarlos por ti.
• Los archivos sensibles (configuracion, respaldos, SQL) estan bloqueados por el servidor.
• Los movimientos de acceso y los intentos fallidos quedan registrados para revisarlos.

Verificacion en dos pasos (2FA) con Google Authenticator

Es una segunda llave ademas de tu contrasena. Recomendamos TOTP (codigo de 6 digitos que cambia cada 30 segundos) porque no depende de SMS ni de tu compania, y funciona con Google Authenticator, Authy, Microsoft Authenticator o 1Password.

Cada vez que entras

• Escribes tu usuario y contrasena como siempre.
• Si tienes 2FA activo, el sistema te lleva a la pantalla Verificacion en dos pasos.
• Escribes el codigo de la app; si es correcto, entras a tu panel.
• El codigo cambia cada 30 segundos. Si tu telefono no tiene la hora correcta, el codigo no coincidira: activa la hora automatica.

Codigos de respaldo

• Son 8 codigos de un solo uso para cuando no tienes el telefono.
• Cada codigo sirve una sola vez; al usarlo se borra.
• Guardalos impresos o en un lugar seguro, no en la misma cuenta de correo.
• Si crees que alguien los vio, entra a Seguridad de mi cuenta → Regenerar codigos; los anteriores dejan de servir.

Si pierdes el telefono

Por que no usamos SMS

El SMS se puede interceptar, depende de la compania y falla si no hay senal. TOTP funciona sin internet y el codigo solo vive en tu telefono y en el servidor. Por eso recomendamos Google Authenticator o Authy, no mensajes de texto.

Intentos y bloqueos

• Hay un limite de 5 intentos por cuenta y por IP y 20 por IP en 15 minutos.
• Al llegar al limite se pausa el acceso desde esa computadora, no se borra tu cuenta.
• Queda registrado el intento y la IP para que el administrador lo revise.

Que parte protege el sistema y que parte el servidor

Somos honestos: el sistema protege el acceso, los formularios, las sesiones y los archivos; el firewall del servidor, el WAF, los respaldos y el monitoreo dependen del hosting o de Cloudflare. No vendemos un tablero que no existe: si algo es del servidor, se configura aparte.

• Sistema: contrasena, 2FA, CSRF, sesiones, limites de intentos, bloqueo de archivos y registros.
• Servidor/hosting: firewall, fail2ban, WAF, respaldos fuera del servidor y monitoreo de caidas.
• Buenas practicas: contrasena larga y unica, 2FA activo, no compartir claves y revisar accesos raros.

Recomendaciones para tu cuenta

• Activa 2FA hoy mismo, sobre todo si eres administrador.
• Usa una contrasena larga y diferente a la de otras cuentas.
• No compartas tu usuario ni tus codigos.
• Si vendes o compartes una computadora, cierra sesion.
• Ante cualquier movimiento raro, cambia la contrasena y avisa al administrador.