Seguridad y datos

Tuyos. Los tratamos para operar el servicio que nos has encargado y para nada más. No se mezclan con los datos de otro cliente, no se venden y no se usan para mostrar publicidad a tus usuarios. Si la relación termina, los datos te los llevas tú.

Las conexiones van por HTTP/3 y el dominio está en la lista HSTS precargada de los navegadores, de modo que el navegador se niega a hablar sin cifrado ya en la primera visita, antes de que ninguna redirección pueda interceptarse. El intercambio de claves es poscuántico: X25519 combinado con ML-KEM-768, elegido para que el tráfico capturado hoy siga resistiendo cuando un ordenador cuántico pueda atacarlo.

Nunca en el código fuente, y eso lo impone la compilación, no la disciplina: el código con un secreto escrito a fuego se rechaza antes de poder integrarse. Los secretos viven cifrados en un almacén de configuración y se descifran en ejecución solo donde hacen falta, de modo que rotar una clave es un cambio en un sitio y no una búsqueda por toda la base de código.

Sí. Los eventos de la aplicación, los errores y las acciones administrativas se escriben en la base de datos y no en ficheros de texto repartidos por los servidores, así que se pueden buscar de verdad. Los cambios administrativos registran quién actuó, qué se cambió y cuándo. A «quién cambió este precio el mes pasado» hay respuesta, no conjetura.

Las cookies no esenciales solo se activan cuando el visitante acepta, la decisión queda registrada y cada sitio que construimos tiene una página donde cambiarla o retirarla después. Rechazar es un clic y no una búsqueda por un menú de ajustes, y quien rechaza sigue teniendo un sitio que funciona.