Características de seguridad

Obtén información sobre las medidas de seguridad que protegen tu cuenta StockCraft y tus datos empresariales.

StockCraft se toma la seguridad muy en serio. Implementamos prácticas de seguridad estándar del sector para proteger tu cuenta y tus datos empresariales.

Autenticación multifactor (MFA)

La autenticación multifactor añade una capa adicional de seguridad a tu cuenta al requerir dos formas de verificación:

• Algo que sabes - Tu contraseña
• Algo que tienes - Tu smartphone con una aplicación de autenticación

Incluso si alguien obtiene tu contraseña, no podrá acceder a tu cuenta sin el código temporal de tu aplicación de autenticación.

¿Qué es el TOTP?

StockCraft usa una contraseña de un solo uso (TOTP) basada en el tiempo para MFA. TOTP genera un código único de 6 dígitos cada 30 segundos en función de un secreto compartido entre tu aplicación de autenticación y StockCraft. Este código solo se puede usar una vez y caduca rápidamente, por lo que es extremadamente seguro.

Cómo el TOTP mejora la seguridad

• Protección contra el robo de contraseñas - Incluso si tu contraseña está comprometida, los atacantes no pueden acceder a tu cuenta sin tu aplicación de autenticación
• Protección contra la suplantación de identidad - Los códigos TOTP tienen un límite de tiempo y no se pueden reutilizar, lo que hace que los ataques de suplantación de identidad sean ineficaces
• Sin vulnerabilidades de SMS - A diferencia de la autenticación de dos factores basada en SMS, el TOTP no depende de redes telefónicas que puedan interceptarse
• Funciona sin conexión - Su aplicación de autenticación genera códigos localmente sin necesidad de una conexión a Internet

Configuración de MFA

Activar la MFA es rápido y sencillo. Visite la página de configuración, vaya a la pestaña Seguridad y haga clic en «Activar MFA». Escanearás un código QR con tu aplicación de autenticación y verificarás el código para completar la configuración. Vea la guía completa de configuración de MFA →

Seguridad de contraseñas

StockCraft impone requisitos de contraseñas seguras:

• Mínimo 8 caracteres
• Debe incluir letras mayúsculas y minúsculas
• Debe incluir al menos un número
• Debe incluir al menos un carácter especial

Las contraseñas nunca se almacenan en texto plano. Utilizamos los algoritmos de hash estándar del sector proporcionados por AWS Cognito para almacenar de forma segura los valores hash de las contraseñas.

Cifrado de datos

Todos los datos transmitidos entre su navegador y los servidores StockCraft se cifran mediante HTTPS/TLS. Esto garantiza que sus datos no puedan ser interceptados o leídos por terceros durante la transmisión.

Los datos en reposo se cifran mediante los servicios de cifrado de AWS, lo que protege la información empresarial incluso si los medios de almacenamiento físico se ven comprometidos.

Aislamiento de múltiples inquilinos

StockCraft utiliza una arquitectura segura de múltiples inquilinos en la que los datos de cada empresa están aislados de forma lógica. Sus datos nunca son visibles para otros usuarios de StockCraft, y todas las consultas a las bases de datos se asignan automáticamente a su ID de inquilino.

Administración de sesiones

Las sesiones de usuario se administran de forma segura con:

• Caducidad automática de la sesión tras la inactividad
• Almacenamiento seguro de tokens en el almacenamiento local del navegador
• Mecanismos de actualización de tokens para mantener la seguridad sin interrumpir su flujo de trabajo
• Invalidación inmediata de la sesión al cerrar sesión

Preguntas frecuentes

¿Se requiere MFA?

La MFA es opcional, pero se recomienda encarecidamente. La activación de la MFA reduce considerablemente el riesgo de acceso no autorizado a la cuenta.

¿Qué ocurre si pierdo mi aplicación de autenticación?

Si pierdes el acceso a tu aplicación de autenticación, ponte en contacto con el servicio de asistencia de StockCraft para obtener ayuda con la recuperación de la cuenta. Te recomendamos usar una aplicación de autenticación que admita copias de seguridad en la nube (como Authy o Microsoft Authenticator) para evitar esta situación.

¿Puedo usar SMS para la autenticación de dos factores?

Actualmente, StockCraft solo admite la MFA basada en ToTP mediante aplicaciones de autenticación. El TOTP es más seguro que la 2FA basada en SMS porque no depende de redes telefónicas que puedan interceptarse.

¿Dónde se guardan mis secretos de TOTP?

AWS Cognito administra de forma segura los secretos del TOTP y nunca se almacenan en la base de datos de la aplicación StockCraft. Esto garantiza que ni siquiera los desarrolladores de StockCraft puedan acceder a sus secretos de MFA.

¿Con qué frecuencia debo introducir los códigos MFA?

Deberás introducir un código de MFA cada vez que inicies sesión en StockCraft. Tu sesión permanecerá activa durante un período de tiempo, por lo que no tendrás que volver a introducir los códigos mientras la utilices normalmente.

¿Puedo desactivar la MFA?

Sí, puedes desactivar la MFA en cualquier momento desde la página de configuración. Deberás introducir un código TOTP actual para confirmar el cambio y asegurarte de que solo tú puedes desactivar la MFA en tu cuenta.

Reportar un problema de seguridad

No hay ninguna invitación abierta para probar, escanear o sondear StockCraft. No se autoriza lo siguiente, sea cual sea su intención:

• Análisis de vulnerabilidades o sondeo automatizado de stockcraft.org o cualquier subdominio
• Crear cuentas o probar inquilinos para probarlos
• Intentar acceder a los datos que pertenecen a una cuenta que no sea la suya
• Pruebas de autenticación, autorización o toma de control de cuentas, incluso en las cuentas que controlas
• Pruebas de denegación de servicio, carga o estrés
• Ingeniería social de nuestro personal, clientes o proveedores

El registro de una cuenta no otorga permiso para probarla. Las pruebas no solicitadas infringen nuestros Términos de servicio. Describir una obra como «sombrero gris», «buena fe» o «divulgación responsable» no significa que esté autorizada, y no ofrecemos ningún refugio, reconocimiento o recompensa por ello.

Las pruebas de seguridad solo se autorizan en virtud de un acuerdo escrito firmado previamente por StockCraft, que establece el alcance, el tiempo, los métodos y el manejo de los datos.

Si has encontrado algo

Aún queremos saberlo. Correo electrónico support@stockcraft.org con «Informe de seguridad» en el asunto e indíquenos lo que ha observado.

Por favor, informa solo de lo que ya has visto. No intensifiques la situación, no realices más pruebas para confirmar el impacto y no accedas a datos que no sean tuyos. Si para confirmar un hallazgo necesitarías algo de eso, describe lo que sospechas e investigaremos nosotros mismos. Evaluamos cada informe auténtico en función de sus méritos y nos esforzamos por confirmarlo en un plazo de 48 horas. Aceptar un informe no es una autorización retrospectiva de la forma en que se obtuvo.

No hay pago, recompensa ni recompensa por los informes de seguridad.

Volver a Empezar →