Arquitectura de seguridad

Arquitectura de seguridad de Dossira

Este documento está dirigido a los equipos que desean conocer los detalles del modelo de seguridad de Dossira. Mantenemos la seguridad de forma concreta: límites claros, accesos definidos y una ruta de verificación transparente.

Si solo necesita la versión corta:

Las passkeys reemplazan a las contraseñas (Face ID / Touch ID / Windows Hello).
Los espacios de trabajo aíslan el acceso por membresía (y pueden sellarse).
El cifrado se aplica en reposo y en tránsito.
Los Espacios de Trabajo Confidenciales añaden cifrado de extremo a extremo (el proveedor no puede leer el contenido).
Los registros de auditoría están disponibles para el acceso y las acciones clave.
El alojamiento y las operaciones están diseñados bajo un límite operativo europeo (según las opciones de despliegue).

Este documento describe cómo protegemos la confidencialidad, integridad y disponibilidad en la aplicación, la red y la infraestructura.

Gobernanza de seguridad y práctica de ingeniería

Construimos y operamos Dossira con una práctica de seguridad disciplinada:

Revisión y endurecimiento: revisión de código, revisión de configuración y controles de seguridad como parte del ciclo normal de entrega.
Pruebas: pruebas periódicas internas y de terceros de los flujos de trabajo principales.
Gestión de vulnerabilidades: triaje, ciclos de parches y control de cambios para modificaciones relevantes para la seguridad.
Supervisión operativa: los incidentes y las señales de seguridad se revisan como parte de las operaciones normales.

Utilizamos puntos de referencia establecidos (por ejemplo, la guía de OWASP y familias de controles de seguridad comunes) donde se adaptan al producto.

1. Autenticación y acceso

Las contraseñas escritas siguen siendo el eslabón más débil en la mayoría de los sistemas. Dossira está diseñado para reducir la dependencia de ellas.

Passkeys y factores de autenticación fuertes

Passkeys (WebAuthn): Las passkeys habilitan Face ID, Touch ID o Windows Hello. Utilizan un inicio de sesión criptográfico resistente al phishing en lugar de un secreto reutilizable.
Autenticación respaldada por hardware: Para trabajos de mayor sensibilidad, admitimos llaves de seguridad de hardware FIDO2.
Políticas del espacio de trabajo: Los espacios pueden configurarse para requerir factores más fuertes en entornos donde sea apropiado.

Inicio de sesión federado y SSO

Cuando las organizaciones requieren una gobernanza de identidad centralizada, Dossira puede admitir patrones de autenticación federada estándar (por ejemplo, OpenID Connect). Esto permite la alineación con la política de identidad corporativa y los flujos de desvinculación de usuarios.

Seguridad de la sesión

Tokens de corta duración: Las sesiones utilizan tokens firmados de corta duración.
Endurecimiento de cookies: El almacenamiento de sesiones está configurado para reducir la exposición a ataques a nivel de script.
Controles de sesión: Los usuarios pueden revocar sesiones mediante los ajustes. Los administradores pueden imponer límites de duración de sesión y forzar el cierre de sesión si es necesario.

Roles y permisos

Base RBAC: El acceso al espacio de trabajo se rige por roles.
Controles granulares: Los roles pueden restringirse con permisos a nivel de recurso (por ejemplo, controles a nivel de sección, modos de solo lectura, controles de carga y políticas de administración).
Mínimo privilegio: Los valores predeterminados son estrechos y explícitos.

2. Límite de alojamiento y operaciones

Dossira está diseñado para soportar un límite operativo europeo.

Datos principales del espacio de trabajo: Evitamos ubicar el almacenamiento principal en infraestructura de proveedores estadounidenses para nuestros despliegues primarios. Esto mejora la previsibilidad jurisdiccional para muchos equipos.
Operaciones controladas: El acceso administrativo está limitado, registrado y protegido con autenticación fuerte.
Huella geográfica: Nuestra infraestructura se despliega en Europa, con presencia regional dependiendo del servicio.

3. Estrategia de cifrado

Utilizamos cifrado de defensa en profundidad en el almacenamiento, las copias de seguridad y el transporte de red.

En reposo (almacenamiento)

Ciframos los datos en la capa de aplicación:

Cifrado de objetos/archivos: Los archivos individuales y los bloques de datos se cifran mediante AES-GCM con llaves de 256 bits.
Custodia de llaves: La gestión de llaves está separada de la capa de almacenamiento para reducir el radio de impacto de cualquier subsistema individual.

Cifrado de disco completo (infraestructura)

Cifrado de disco completo: Los servidores utilizan cifrado de disco completo (por ejemplo, LUKS/AES-XTS) para que las unidades retiradas sigan siendo ilegibles sin las llaves.

Copias de seguridad (cifradas, rotadas, controladas)

Copias de seguridad cifradas: Las copias de seguridad y los snapshots están cifrados.
Rotación y retención: Las copias de seguridad rotan según un calendario definido.
Pruebas de recuperación: Los procedimientos de restauración están documentados y se ejercitan periódicamente.

En tránsito (red)

Cumplimiento de TLS: Utilizamos configuraciones modernas de TLS entre los dispositivos cliente y nuestro perímetro.
Transporte interno: El tráfico entre servicios se cifra en enlaces de red privados.

4. Integridad de la aplicación

Huella de ejecución reducida: Los servicios centrales del backend son servicios compilados con un perfil de ejecución controlado.
Disciplina en dependencias: Mantenemos las dependencias externas limitadas al mínimo posible.
Acceso a datos parametrizado: Las consultas están parametrizadas y se enrutan a través de una capa de autorización coherente para reducir el riesgo de inyección.

5. Aislamiento de red y base de datos

Redes privadas: Las bases de datos y los servicios internos funcionan en redes privadas y no están expuestos a la internet pública.
API como guardián: Se accede a los datos a través de la API autenticada de Dossira, aplicando validación, autorización y registro constante.

6. Registro, monitoreo y prevención de abusos

Registro operativo: Los registros rastrean errores, problemas de rendimiento y actividades sospechosas.
Registro consciente de la privacidad: Los registros evitan almacenar contenido sensible. Las excepciones se limitan a eventos relevantes para la seguridad.
Límites de tasa: La limitación de tasa mitiga los intentos de fuerza bruta y abuso.

7. Seguridad física y controles operativos

Los datos se alojan en centros de datos europeos profesionales con controles físicos: acceso controlado, monitoreo y suministros redundantes. El acceso administrativo está restringido a un pequeño grupo de personal directivo. El personal de soporte no tiene acceso rutinario al contenido de los clientes.

8. Divulgación de vulnerabilidades

Si cree haber encontrado una vulnerabilidad en Dossira, infórmenos a través de nuestra Página de contacto. Si consideramos que un incidente afecta a los clientes, seguimos los procedimientos internos de incidentes y nos comunicamos según nuestras obligaciones legales.