Última actualización: 13 de octubre de 2026.
1. Cuentas
- Contraseñas de al menos 10 caracteres, guardadas con hash de un solo sentido; nunca en claro.
- Bloqueo temporal de la cuenta tras varios intentos fallidos y límite de intentos por dirección IP.
- Sesiones que caducan a las 12 horas, cookie segura solo por HTTPS, y cierre de todas las sesiones desde Ajustes.
- Roles por equipo (propietario, administrador, editor, lector): cada acción se comprueba en el servidor.
2. Plataforma
- HTTPS obligatorio en el panel y en todos los sitios publicados, con certificados que se renuevan solos.
- Cabeceras de protección en todas las respuestas: política de contenido (CSP) sin scripts en línea, HSTS, protección contra clickjacking y contra el rastreo de referencias.
- Protección CSRF en todos los formularios y llamadas del panel; límites de velocidad por usuario y por IP en los puntos sensibles.
- Los límites de cada plan (sitios, direcciones, productos, funciones de la tienda) se aplican en el servidor: modificar el navegador o las peticiones no los cambia.
- El panel disuade la inspección del navegador (atajos de herramientas de desarrollo y clic derecho) y registra esos intentos en la auditoría de la cuenta.
- Secretos de las pasarelas de pago cifrados en reposo; nunca se muestran completos en el panel.
- Registro de auditoría de las acciones importantes, con fecha, usuario e IP, visible para los administradores de la cuenta.
3. Sitios publicados
- Todo el contenido que escribes se limpia en el servidor antes de publicarse: no se pueden inyectar scripts en los sitios.
- Los sitios se sirven con su propia política de contenido y con aislamiento entre sitios.
- Los formularios y pedidos tienen límites de envío y protección contra bots.
- Backups automáticos con la retención de tu plan y versión anterior siempre disponible para restaurar.
4. Pagos
No guardamos números de tarjeta. Los cobros de la suscripción los procesa una pasarela certificada PCI DSS. En las tiendas, cada negocio usa su propia pasarela (Stripe, Mercado Pago o Wompi) y la verificación del pago se hace en el servidor con la firma del webhook.
5. Reporta una vulnerabilidad
Si encuentras un fallo de seguridad, escríbenos a mokdan38@gmail.com con los pasos para reproducirlo. Respondemos en 48 horas hábiles, no emprendemos acciones contra quien reporta de buena fe sin explotar el fallo ni acceder a datos ajenos, y te damos crédito si lo deseas.