Seguridad y Divulgación Responsable

En resumen: Protegemos su cuenta y su contenido con medidas técnicas reales y las mantenemos bajo revisión, pero la seguridad es una responsabilidad compartida: use una contraseña robusta y única y revise sus sesiones. Si encuentra una vulnerabilidad, escríbanos a pendiente · correo de seguridad: no emprenderemos acciones legales contra la investigación de buena fe que respete estas reglas.

Este resumen es orientativo; prevalece el texto completo.

1. Nuestro compromiso

pendiente · razón social del titular («Mazex.ai», el «Titular») trata la seguridad como un requisito del producto y no como un añadido. Esta página explica, en lenguaje llano, qué medidas aplicamos, qué esperamos de usted y cómo puede comunicarnos un problema de seguridad. Por razones obvias no detallamos configuraciones internas que pudieran facilitar un ataque.

Ningún sistema es invulnerable. Describimos medidas que están implementadas hoy; no prometemos que nunca ocurrirá un incidente, pero sí que lo trataremos con diligencia y transparencia.

2. Medidas de seguridad implementadas

2.1 Cuentas y contraseñas

• Las contraseñas no se guardan en texto legible: se almacenan transformadas con un algoritmo diseñado para ese fin (scrypt) y con una sal única por cuenta.
• Los mecanismos de acceso no revelan si un correo electrónico está registrado o no (por ejemplo, al iniciar sesión o al solicitar la recuperación de contraseña), para dificultar la enumeración de cuentas.
• Los enlaces de verificación de correo y de recuperación de contraseña son de un solo uso y caducan en poco tiempo.

2.2 Verificación en dos pasos

• Puede activar una aplicación autenticadora (códigos TOTP de 30 segundos, compatible con las aplicaciones habituales), un código de 6 dígitos por correo electrónico, o ambos, desde Configuración › Seguridad. Con ambos activos, elige el método en cada inicio de sesión.
• La sesión solo se crea después de superar el segundo paso: con la contraseña sola no se accede a ningún recurso protegido.
• La clave de la aplicación autenticadora se guarda cifrada (AES-256-GCM) y no vuelve a mostrarse tras vincularla. Los códigos por correo y los de recuperación se guardan solo como huella criptográfica; cada código sirve una vez y un código nuevo anula el anterior.
• Límite de intentos por desafío, bloqueo temporal de la cuenta tras fallos repetidos, espera entre reenvíos y protección frente a la reutilización de un mismo código.
• Para activar, desactivar o cambiar un método, o generar nuevos códigos de recuperación, le pedimos de nuevo su contraseña (y un código si ya tiene la verificación activa).
• Le avisamos por correo de los cambios de seguridad y de cada nuevo inicio de sesión, cuando el envío de correos está configurado.
• El personal de administración solo ve si la verificación está activa y sus fechas; nunca su clave ni sus códigos. Si pierde todos sus métodos y códigos, puede restablecerla tras comprobar su identidad por otro canal, y queda registrado.

2.3 Sesiones

• Cada sesión usa un identificador aleatorio de 256 bits. En nuestra base de datos solo se conserva su huella (hash), no el identificador en sí.
• La cookie de sesión está marcada como HttpOnly (inaccesible para scripts de la página), con SameSite y, en producción, Secure (solo viaja por conexiones cifradas).
• Las sesiones caducan: sin «Recordarme», al cerrar el navegador (y como máximo a las 12 horas); con «Recordarme», tras 30 días sin uso y en todo caso a los 90 días. Puede cerrar una sesión concreta o todas las demás desde Configuración › Cuenta.
• El identificador de sesión se renueva periódicamente mientras la usa. Si alguien intenta usar un identificador ya sustituido, la sesión se revoca automáticamente por precaución.
• Las sesiones se revocan automáticamente al cambiar la contraseña y al suspender una cuenta.

2.4 Protección de las solicitudes y autorización

• Protección frente a falsificación de solicitudes entre sitios (CSRF).
• Toda autorización se decide en el servidor, nunca solo en la interfaz. Los datos están aislados por organización y por propietario: una persona usuaria no puede acceder al contenido de otra salvo que la propia plataforma lo permita expresamente (por ejemplo, un enlace compartido que usted genere).
• Todas las entradas que recibe el servidor se validan antes de procesarse.

2.5 Limitación de abuso

• Limitación de tasa en inicios de sesión (por dirección IP y por correo), registros, recuperaciones de contraseña y generación de respuestas, para frenar ataques de fuerza bruta y usos automatizados.
• Cloudflare Turnstile como verificación anti-bots (opcional, según la instalación) y posible protección perimetral de Cloudflare cuando el servicio se publique a través de su red.

2.6 Credenciales de proveedores de IA

Las claves de API de los proveedores de modelos que configuran los administradores se almacenan cifradas con AES-256-GCM y nunca se devuelven completas a la interfaz.

2.7 Archivos

• Los archivos subidos se validan por su firma binaria (no solo por la extensión) y se aplican límites de tamaño.
• Los archivos solo se sirven a su propietario y de forma segura.

2.8 Trazabilidad

• Registro de auditoría de acciones sensibles (por ejemplo, cambios en cuentas, roles o proveedores).
• Los secretos (contraseñas, claves y tokens) se censuran en los registros técnicos.

2.9 Comunicaciones

En producción, el servicio se sirve mediante TLS, que cifra los datos en tránsito entre su navegador y la plataforma.

2.10 Lo que aún no ofrecemos

Para que tenga una visión honesta: no analizamos los archivos adjuntos con antivirus ni cifrado específicamente su contenido en reposo en el almacenamiento local. Por esa razón, evite subir material que no haya revisado, y valore la sensibilidad de lo que adjunta. Actualizaremos esta página cuando esto cambie.

3. Responsabilidades compartidas

La seguridad de su cuenta depende también de usted.

3.1 Todas las personas usuarias

• Use una contraseña robusta (larga, con variedad de caracteres) y única, que no reutilice en otros servicios. Un gestor de contraseñas ayuda mucho.
• No comparta su cuenta ni sus credenciales. Si alguien necesita acceso, que tenga su propia cuenta.
• En equipos compartidos o públicos, no marque «Recordarme» y cierre la sesión al terminar.
• Revise de vez en cuando sus sesiones activas en Configuración › Cuenta y cierre las que no reconozca.
• Desconfíe de correos o mensajes que pidan su contraseña o le lleven a páginas que imitan la plataforma. Nunca le pediremos su contraseña por correo.
• Mantenga actualizados su navegador y sistema operativo.
• Piense antes de adjuntar o pegar información muy sensible: todo lo que envía a un modelo llega a su proveedor (véase la Política de Inteligencia Artificial).
• Revise lo que comparte mediante enlaces públicos y revóquelos cuando ya no sean necesarios.

3.2 Administradores

• Custodie las claves de API de los proveedores de IA: no las comparta por canales inseguros, utilice claves con los permisos y límites de gasto mínimos necesarios y revóquelas en el proveedor si sospecha que se han expuesto.
• Conceda roles con el principio de mínimo privilegio y revise periódicamente quién tiene acceso administrativo.
• Revise la actividad y las cuotas para detectar usos anómalos.

4. Si sospecha un acceso indebido

1. Cambie su contraseña de inmediato. Al hacerlo se cerrarán las demás sesiones.
2. Revise las sesiones activas en Configuración › Cuenta y cierre las desconocidas.
3. Si usaba la misma contraseña en otros servicios, cámbiela también allí.
4. Si es administrador y cree que una clave de API pudo quedar expuesta, revóquela en el proveedor y genere otra.
5. Avísenos a pendiente · correo de seguridad indicando cuándo y qué observó. No incluya contraseñas en el mensaje.

5. Programa de divulgación responsable

Agradecemos que investigadores y usuarios nos ayuden a mejorar la seguridad. Si cree haber encontrado una vulnerabilidad, queremos saberlo.

5.1 Cómo informar

Escriba a pendiente · correo de seguridad. Incluya, en la medida de lo posible:

• una descripción clara de la vulnerabilidad y de su impacto potencial;
• los pasos exactos para reproducirla y, si la tiene, una prueba de concepto (PoC) mínima;
• el componente o la dirección afectados, y la fecha y hora de la prueba;
• sus datos de contacto y si desea ser mencionado cuando se corrija.

Si el contenido es especialmente sensible, indíquelo en el asunto y acordaremos un canal seguro para continuar la comunicación.

5.2 Alcance

Dentro de alcance: la aplicación web de Mazex.ai disponible en pendiente · dirección del sitio y su API, incluyendo autenticación, gestión de sesiones, autorización y aislamiento entre organizaciones, gestión de credenciales y manejo de archivos.

5.3 Fuera de alcance

No consideraremos informes sobre:

• ataques de denegación de servicio (DoS/DDoS) o pruebas de carga que degraden el servicio;
• ingeniería social, phishing o ataques contra el personal o contra otras personas usuarias;
• ataques físicos o contra instalaciones y dispositivos;
• spam, o envío masivo de mensajes o solicitudes;
• resultados de escáneres automáticos sin una prueba de concepto que demuestre impacto real;
• ausencia de cabeceras HTTP, configuraciones de correo (SPF, DKIM, DMARC) o prácticas recomendadas similares sin un impacto de seguridad demostrable;
• vulnerabilidades en servicios o proveedores de terceros (infórmeles directamente a ellos), salvo que afecten a cómo los integramos;
• comportamientos propios de los modelos de IA (alucinaciones, respuestas inapropiadas) que no supongan una vulnerabilidad técnica; para estos casos use el procedimiento de resultados dañinos;
• versiones de software obsoletas sin una explotación concreta, o fallos que requieran acceso previo al dispositivo de la víctima.

5.4 Reglas de la investigación

Para que su investigación quede amparada por esta política, le pedimos que:

• No acceda, modifique, borre ni extraiga datos de terceros. Si accede accidentalmente a información ajena, deténgase, no la copie ni la divulgue y avísenos.
• No degrade el servicio ni realice pruebas que afecten a otras personas usuarias.
• Pruebe únicamente con cuentas propias o con permiso expreso.
• No utilice la vulnerabilidad más allá de lo necesario para demostrarla.
• Nos dé un plazo razonable para corregir antes de divulgar públicamente la información. Como referencia, solicitamos al menos 90 días desde la confirmación, o menos si lo acordamos de común acuerdo según la gravedad.
• No incumpla la ley aplicable ni exija pagos como condición para no divulgar.

5.5 Puerto seguro

Si actúa de buena fe y cumple estas reglas, no emprenderemos acciones legales ni solicitaremos a las autoridades que actúen contra usted por la investigación realizada, y consideraremos su actividad como autorizada. Este compromiso no cubre actuaciones que incumplan estas reglas ni exime del cumplimiento de la ley en lo que no dependa de nosotros (por ejemplo, derechos de terceros).

5.6 Qué puede esperar de nosotros

Plazos orientativos desde la recepción del informe:

Son plazos de referencia, no una obligación contractual. Le informaremos cuando la vulnerabilidad esté corregida y, si lo desea, reconoceremos su aportación.

5.7 Recompensas

Por ahora no disponemos de un programa de recompensas económicas. Valoramos los informes de calidad y podremos reconocer públicamente su colaboración, con su consentimiento.

6. Notificación de incidentes

Si ocurre una brecha de seguridad que afecte a datos personales, actuaremos conforme a la ley aplicable: la evaluaremos, adoptaremos medidas de contención y, cuando proceda, notificaremos a la autoridad de control (pendiente · autoridad de control) y a las personas afectadas en los plazos legales y con la información exigida. A los clientes empresariales con un contrato de encargo de tratamiento les notificaremos sin dilación indebida y, como máximo, en 72 horas desde que tengamos conocimiento de la brecha, según lo previsto en el contrato de tratamiento de datos. El tratamiento de datos personales se describe en la Política de Privacidad.

7. Contacto y actualizaciones

• Vulnerabilidades e incidentes de seguridad: pendiente · correo de seguridad
• Otras consultas: pendiente · correo de contacto

Revisaremos esta página cuando cambien nuestras medidas. Los cambios sustanciales se comunicarán con un preaviso de 30 días, salvo que una urgencia de seguridad o una norma requiera aplicarlos antes. Versión 2026-11-05, en vigor desde el 5 de noviembre de 2026.