Prácticas de seguridad

Tus cuentas sociales son valiosas, por eso consideramos su seguridad la parte más importante de PilotPost. Esta página describe las medidas prácticas que aplicamos actualmente.

1. Cifrado

• Todas las páginas y llamadas a la API funcionan a través de HTTPS (TLS), con certificados que se renuevan automáticamente.
• Los tokens de acceso a las redes sociales y otras credenciales (como los tokens de bot y las contraseñas de aplicación) se almacenan cifrados con AES-256-GCM.
• Las contraseñas nunca se almacenan en un formato legible: solo conservamos un hash bcrypt con sal.

2. Tu cuenta

• La verificación en dos pasos con una app de autenticación está disponible en todas las cuentas y es obligatoria para los administradores.
• Si se introducen códigos erróneos repetidamente, el inicio de sesión en dos pasos se bloquea temporalmente.
• Los enlaces de restablecimiento de contraseña solo funcionan una vez y caducan a los 60 minutos.
• «Continuar con Google» te permite iniciar sesión sin una contraseña de PilotPost.
• En la mayoría de las redes, inicias sesión en la propia página de la red, por lo que nunca vemos tus contraseñas de redes sociales.

3. Infraestructura

• Los servidores están alojados en la UE por Hetzner, un proveedor con certificación ISO/IEC 27001.
• El acceso a los servidores se realiza únicamente mediante claves SSH (sin contraseñas), con bloqueo automático de los intentos de inicio de sesión repetidos.
• Los servicios internos de la aplicación no están expuestos a internet; solo lo está la puerta de entrada web segura.
• La base de datos se copia automáticamente todos los días.

4. Protecciones de la aplicación

• Cada cliente solo puede ver y utilizar sus propios datos y cuentas conectadas.
• La conexión de una red utiliza solicitudes firmadas y con caducidad, de modo que no se puede secuestrar una conexión.
• Las herramientas gratuitas tienen límites de uso diarios para evitar abusos.
• Los scripts de analítica y publicidad solo se cargan después de que aceptes las cookies.

5. Tu parte

• Usa una contraseña única y activa la verificación en dos pasos.
• Quita en la página Cuentas las cuentas conectadas que ya no utilices.
• Limita los accesos del equipo a las personas que los necesiten.

6. Cómo informar de un problema de seguridad

Si crees haber encontrado una vulnerabilidad, escribe a support@pilotpost.social con los detalles y concédenos un plazo razonable para corregirla antes de hacerla pública. No accedas a datos de otras personas ni perturbes el Servicio durante tus pruebas. Agradecemos los informes responsables.