Seguridad

ProbeKit ejecuta sondas de red reales para cualquier persona en internet, así que la seguridad tiene dos lados: proteger tu cuenta y tus datos, y asegurarnos de que ProbeKit no pueda usarse contra los sistemas de otras personas ni contra los nuestros. Esta página expone los compromisos que cumplimos.

Reportar una vulnerabilidad

Escribe a pk@azul-services.com (o usa el formulario de contacto) con los pasos para reproducirla y el impacto que esperas. Respondemos en unos pocos días hábiles y te mantenemos al tanto hasta que se corrija. Si actúas de buena fe (sin acceder a datos de otras personas, sin degradar el servicio y sin divulgarla públicamente antes de que hayamos tenido un tiempo razonable para corregirla), no emprenderemos acciones legales contra ti. Nuestro contacto de divulgación también está publicado en security.txt.

Mantener las sondas apuntando hacia afuera

• Cada dirección que una herramienta está por contactar se verifica primero. Los rangos de direcciones privadas, internas y reservadas, y nuestra propia infraestructura, se rechazan.
• Las verificaciones se mantienen ante redirecciones y respuestas DNS cambiantes, y se aplican tanto a los monitores en segundo plano como a las consultas.

Controles de abuso y limitación de tasa

• Limitación de tasa en cada endpoint, con límites más estrictos en el inicio de sesión y en las herramientas que consumen más recursos.
• Presupuestos de uso por cliente y límites a sondear el mismo objetivo de forma repetida.
• Monitoreo y alertas de abuso, y la capacidad de apagar cualquier herramienta en segundos.

Cuentas e inicio de sesión

• Las contraseñas se almacenan solo como hashes unidireccionales fuertes, nunca en forma legible. Los intentos fallidos repetidos se ralentizan y se bloquean.
• Se admiten llaves de acceso (Face ID, Touch ID, Windows Hello o una llave de seguridad); solo almacenamos la clave pública.
• Las sesiones y las claves de API se almacenan solo en forma hasheada. Las cookies de sesión no pueden ser leídas por scripts, y cada cambio que haces está protegido contra falsificación de solicitudes entre sitios. Puedes ver y revocar tus sesiones en Cuenta → Seguridad.
• Los enlaces de restablecimiento de contraseña son de un solo uso y de corta duración, y al usar uno se cierran todas las sesiones.
• El inicio de sesión con Microsoft y Google sigue la práctica actual de OpenID Connect, y una dirección de correo de ellos se vincula a una cuenta solo cuando el proveedor la ha verificado.
• El registro está protegido contra altas automatizadas y direcciones desechables, y el registro, el inicio de sesión y el restablecimiento de contraseña no revelan si una cuenta existe.

Cifrado en tránsito

• ProbeKit se sirve solo por HTTPS (TLS), y se indica a los navegadores que nunca usen HTTP plano.
• Las conexiones a los servicios externos que usamos (pagos, IA y proveedores de inicio de sesión) están cifradas con TLS y verifican el certificado del proveedor.
• Cada página se envía con encabezados de seguridad, incluida una Content Security Policy y protección contra framing.

Hosting y acceso

• ProbeKit se aloja en nuestra infraestructura en Estados Unidos.
• El acceso es de mínimo privilegio: las personas y los servicios obtienen solo el acceso que necesitan, la base de datos no es alcanzable desde internet, y los secretos se mantienen fuera del código.
• Los registros nunca contienen contraseñas, contenidos de formularios ni cuerpos de correo.
• El correo de informes entrante se maneja de forma defensiva: el correo demasiado grande, malformado o inseguro se rechaza.
• Las dependencias se verifican por vulnerabilidades conocidas antes de cada publicación.

Respaldos

Mantenemos respaldos cifrados fuera del sitio y probamos las restauraciones.

Tus datos

Qué almacenamos y por cuánto tiempo está en la Política de privacidad; los clientes empresariales pueden solicitar nuestra Adenda de procesamiento de datos completa.