Resumen honesto de las protecciones que hoy tiene KeyForge en producción. No constituye certificación ni garantía de ningún tipo.
01 / SECCIÓNComunicación cifrada
- HTTPS/TLS con HSTS en todos los dominios productivos.
- Redirección automática de HTTP a HTTPS en el borde.
02 / SECCIÓNAutenticación y sesiones
- Contraseñas almacenadas como hash bcrypt (nunca en claro).
- JWT de acceso de corta duración + refresh tokens rotativos (revocables).
- Cookies de sesión y refresh con atributos seguros:
Secure,SameSite=Strict,HttpOnlyypathrestringido. - Contraseña mínima y validación de formato en cliente y servidor.
- Admins opcionalmente protegidos con passkeys (WebAuthn/FIDO2) y 2FA (TOTP).
03 / SECCIÓNProtección contra abuso
- Rate limiting por IP y por ruta (auth, admin, 2FA, recovery).
- CSRF: doble submit cookie en endpoints que cambian estado (mutaciones admin).
- Audit logging de eventos sensibles (admin auth, resets, 2FA) con alertas en logs estructurados.
- Bloqueo por intentos fallidos en endpoints sensibles de administración.
04 / SECCIÓNCabeceras de seguridad
Enviamos en todas las respuestas del sitio:
Strict-Transport-Security,X-Content-Type-Options: nosniff,X-Frame-Options: DENYReferrer-Policy,Permissions-Policy,Content-Security-Policyestricta
05 / SECCIÓNDesarrollo seguro
- Código bajo control de versiones con revisiones antes de mergear a
main. - Migraciones de base de datos versionadas e idempotentes.
- Dependencias analizadas con herramientas de seguridad (npm audit / NuGet audit).
- Secretos por variables de entorno; jamás en el repositorio. Rotación previa a cada release.
06 / SECCIÓNReportar una vulnerabilidad
Si encuentras una vulnerabilidad, envíala a security@keyforge.aes-studio.dev. Te responderemos en un plazo razonable. Por favor no divulgues públicamente hasta que la hayamos remediado (responsible disclosure).
No ejecutamos un programa público de bug-bounty — reportes documentados y verificados son bienvenidos igualmente.
07 / SECCIÓNLo que no somos
KeyForge no cuenta hoy con certificación SOC 2, ISO 27001 ni tratamiento «enterprise-grade» de datos sensibles regulados (datos de salud, tarjetas PCI). Si tu caso de uso lo requiere, contáctanos para discutir términos. Puedes confiar en el nivel de seguridad descrito, pero no asumas garantías que no existen.