La seguridad se diseña, no se agrega al final.

Así protegemos tu cuenta, tus diagramas y tus API keys. Cada control de esta página está implementado en el código open source que puedes revisar en GitHub.

Identidad y acceso

• Contraseñas robustas — Mínimo 12 caracteres con mayúsculas, minúsculas, números y símbolos. Se guardan con hash bcrypt, nunca en texto plano.
• Autenticación multifactor — App TOTP (Google Authenticator, Authy) y códigos por email que expiran en 10 minutos, más 8 códigos de recuperación de un solo uso.
• Sesiones acotadas — Tokens JWT de 2 días (5 con MFA) que se invalidan automáticamente al cambiar la contraseña.
• Protección contra fuerza bruta — Máximo 10 intentos de login por IP por minuto y bloqueo de la cuenta 15 minutos tras 5 fallos seguidos.
• Login con Google — OAuth 2.0 / OpenID Connect con token de estado de 10 minutos y validación de firma, emisor, audiencia y expiración.

Protección de datos

• API keys cifradas en reposo — Las llaves de proveedores de IA y pasarelas de pago se cifran con Fernet (AES-128 + HMAC-SHA256) y solo se muestran enmascaradas.
• Cifrado en tránsito — En producción, HSTS de 2 años con includeSubDomains y preload.
• Enlaces compartidos con control — Código de acceso guardado como hash, expiración configurable y registros de acceso con la IP anonimizada mediante hash.
• Tus datos son tuyos — Exporta proyectos completos a ZIP o Markdown cuando quieras, y elimina tu cuenta con todos sus datos desde la configuración.

Seguridad de la aplicación

• Cabeceras de seguridad — X-Frame-Options DENY, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, Cache-Control no-store y CSP restrictiva en la API.
• Límites contra abuso — Rate limiting en login, MFA, render, exportación, importación, OAuth y enlaces públicos, además de límites de tamaño por petición.
• Importaciones seguras — Protección contra ZIP maliciosos (hasta 500 archivos y 50 MB descomprimidos), vista previa antes de crear y todo-o-nada con rollback.
• Contenido saneado — Los SVG de los diagramas se sanean con DOMPurify antes de mostrarse, para prevenir XSS.
• Producción endurecida — Documentación interactiva de la API desactivada, sin trazas de error expuestas y contenedores que corren sin privilegios de root.

Monitoreo y desarrollo seguro

• Bitácora de auditoría — Registra logins, fallos, bloqueos, cambios de contraseña, eventos de MFA y OAuth, con retención automática de 90 días.
• Monitoreo de errores sin datos personales — Integración opcional con Sentry que elimina información personal antes de enviar cada evento.
• Análisis continuo con Snyk — Escaneo de dependencias, análisis estático del código (SAST) e imágenes de contenedor gracias al programa open source de Snyk.
• Pagos sin tocar tu tarjeta — Los pagos los procesa Stripe; nunca almacenamos datos de tarjeta y cada webhook se verifica por firma.

Divulgación responsable

¿Encontraste una vulnerabilidad? Repórtala en privado mediante GitHub Security Advisories, no en un issue público. Revisamos cada reporte y publicamos las correcciones en las notas de versión.

DiagramaHub está en beta (v0.x). Aún no contamos con certificaciones formales como SOC 2 o ISO 27001; publicamos aquí lo que sí existe hoy.