Seguridad

Cada cuenta empieza con una dirección de correo verificada: el registro envía un enlace de activación y nada funciona hasta que se hace clic en él. Las contraseñas nunca se guardan de forma legible, solo como hashes unidireccionales con sal. Iniciar sesión con Google es opcional y se vincula a la misma cuenta por la dirección de correo.

La autenticación de dos factores tiene tres formas independientes: una aplicación de autenticación, una llave de seguridad física y una passkey. Pueden activarse juntas, y perder una no te deja fuera de las demás. El acceso administrativo por nuestra parte siempre exige un segundo factor.

Ajustes > Sesiones muestra cada dispositivo con sesión iniciada y su última actividad; cualquier sesión puede revocarse desde cualquier otro dispositivo. El inicio de sesión, el restablecimiento de contraseña y el registro tienen límites por dirección y están protegidos contra el abuso automatizado.

La aplicación y su base de datos funcionan en la Unión Europea (Varsovia, Polonia); el correo transaccional y de alertas sale por un centro de datos de la UE; el tráfico termina en Cloudflare solo por TLS, y el dominio .app está en la lista de precarga HSTS, así que los navegadores nunca intentan HTTP sin cifrar.

Los secretos de los canales de notificación (URL de webhooks, tokens de bots, claves de enrutamiento) se cifran en reposo y la API nunca los devuelve completos: se recortan y solo los ven los propietarios de la organización. Los datos de monitorización pertenecen a una organización; cada ruta de la API está clasificada y el límite entre organizaciones está cubierto por pruebas automáticas.

Puedes exportar todo lo que el servicio guarda sobre tu organización como un ZIP desde Ajustes > Cuenta, abandonar una organización o eliminar tu cuenta tú mismo. El historial de auditoría sobrevive a una eliminación de forma anonimizada, como permite el RGPD por responsabilidad proactiva.

Cada respuesta lleva una política de seguridad de contenido y las protecciones habituales del navegador contra la inserción en marcos, las fugas entre orígenes y la exposición del referente. Las peticiones que el servicio hace en tu nombre (webhooks, las propias comprobaciones) pasan por una protección que rechaza direcciones privadas e internas. Cada punto de acceso público tiene un límite por dirección; la entrada hostil se rechaza antes de llegar a la aplicación.

Un programa de pruebas de seguridad se ejecuta bajo demanda: cada ruta de la API figura en una matriz y se recorre de forma anónima, como miembro, como propietario y como personal; cargas hostiles golpean cada ruta de escritura; el conjunto está mapeado al OWASP Top 10 y al OWASP API Top 10 y se complementa con un escáner automático y una prueba de humo en navegador. Los hallazgos reciben un número, una gravedad y una decisión, nunca una corrección silenciosa.

Las dependencias y el entorno de ejecución se mantienen al día con una rutina regular de parches, y cada ronda queda registrada junto al registro de hallazgos.

Las comprobaciones se ejecutan desde nuestro servidor en Polonia y las confirman regiones de monitorización independientes en Europa, Norteamérica, Asia y Oceanía. Cada región ejecuta un pequeño agente cuyas versiones están firmadas criptográficamente, así que una región rechaza una actualización sin firma; cada región se autentica ante el núcleo con su propia credencial vinculada a su dirección.

Una región solo conoce la URL que se le pide comprobar y comunica el resultado; no guarda datos de cuentas, credenciales ni secretos de notificación.

Un único operador gestiona el servicio, lo que significa caminos cortos: los cambios en producción salen como commits revisados y probados, los secretos viven fuera del código y los registros se rotan y se conservan solo brevemente.

Publicamos nuestro propio estado en /status y explicamos cada cifra de disponibilidad en la página de metodología: lo que prometemos medir para ti, lo medimos para nosotros.

Si crees que has encontrado un problema de seguridad en Web Watch Tower, cuéntanoslo antes que a nadie. Escribe a la dirección de nuestro security.txt o usa el formulario de contacto, e incluye qué has encontrado, dónde y cómo reproducirlo; una prueba de concepto ayuda, un exploit funcional no es necesario.

Leemos cada informe, confirmamos la recepción, te mantenemos informado mientras corregimos el problema y, si lo deseas, te damos crédito una vez resuelto. Pedimos un tiempo razonable para corregir antes de cualquier publicación. No hay un programa de recompensas de pago.

Reglas para la investigación de buena fe: sin denegación de servicio ni pruebas de volumen, sin acceso a datos que no sean tuyos más allá del mínimo necesario para demostrar el problema, sin ingeniería social hacia nuestros usuarios o personal y sin cambios en los monitores de otras personas. La investigación que respete estas reglas no se responderá con acciones legales.