Seguridad
Seguro desde el diseño
Tu negocio y tus clientes te confían su tiempo y sus datos. Así protegemos a ambos.
🔑 Acceso sin contraseña
Sin contraseñas no hay contraseñas débiles, reutilizadas ni filtradas. Entras con un enlace de un solo uso que caduca a los 20 minutos y se invalida en cuanto se usa.
#️⃣ Tokens cifrados con hash
Los enlaces de acceso, las sesiones y los enlaces de reserva de los clientes son valores aleatorios de 256 bits. Solo guardamos su hash SHA-256: ni con una filtración de la base de datos se podría entrar.
🔒 Cifrado en tránsito
Todo el tráfico de freecita.com va por HTTPS con HSTS. Los emails se envían mediante conexiones SMTP cifradas con TLS.
🛡️ Aplicación reforzada
Content-Security-Policy estricta, protección CSRF en todos los formularios, cookies SameSite y HttpOnly, protección contra clickjacking y validación estricta de datos.
🚦 Protección contra abusos
Límites de peticiones en el acceso y las reservas, protección frente a escáneres de enlaces de email, trampas antispam y bloqueo de webhooks hacia redes internas.
📦 Datos mínimos
Solo guardamos lo necesario para gestionar tus reservas. Puedes eliminar tu negocio en cualquier momento y todos sus datos se borran al instante.
Infraestructura
Freecita es una única aplicación escrita en Go (un lenguaje con gestión segura de memoria) sobre PostgreSQL. Se ejecuta con un usuario sin privilegios en una imagen de contenedor mínima, sin shell, lo que reduce al máximo la superficie de ataque. Todas las consultas a la base de datos son parametrizadas, lo que evita la inyección SQL.
Tu responsabilidad
Como el acceso a tu cuenta depende de tu correo, protege el email de tu negocio con una contraseña robusta y verificación en dos pasos. Cierra sesión en ordenadores compartidos y revisa periódicamente quién tiene acceso a tu negocio.
Divulgación responsable
Si crees haber encontrado una vulnerabilidad en Freecita, escribe a [email protected] con los detalles y los pasos para reproducirla. Te pedimos que:
- nos des un tiempo razonable para investigar y corregir el problema antes de hacerlo público;
- no accedas ni modifiques datos que no son tuyos, no degrades el servicio ni uses ingeniería social;
- no lances escáneres automáticos que generen mucho tráfico o emails.
Confirmaremos la recepción, te mantendremos informado y, si quieres, reconoceremos tu aportación. Nuestro security.txt está disponible para herramientas automáticas.