Seguretat
Segur des del disseny
El teu negoci i els teus clients et confien el seu temps i les seves dades. Així els protegim.
🔑 Accés sense contrasenya
Sense contrasenyes no hi ha contrasenyes febles, reutilitzades ni filtrades. Entres amb un enllaç d'un sol ús que caduca als 20 minuts i s'invalida tan bon punt s'utilitza.
#️⃣ Tokens amb hash
Els enllaços d'accés, les sessions i els enllaços de reserva dels clients són valors aleatoris de 256 bits. Només en desem el hash SHA-256: ni amb una filtració de la base de dades es podria entrar.
🔒 Xifratge en trànsit
Tot el trànsit de freecita.com va per HTTPS amb HSTS. Els correus s'envien mitjançant connexions SMTP xifrades amb TLS.
🛡️ Aplicació reforçada
Content-Security-Policy estricta, protecció CSRF a tots els formularis, galetes SameSite i HttpOnly, protecció contra el clickjacking i validació estricta de dades.
🚦 Protecció contra abusos
Límits de peticions a l'accés i a les reserves, protecció davant d'escàners d'enllaços de correu, trampes antispam i bloqueig de webhooks cap a xarxes internes.
📦 Dades mínimes
Només desem el que cal per gestionar les teves reserves. Pots eliminar el teu negoci en qualsevol moment i totes les seves dades s'esborren a l'instant.
Infraestructura
Freecita és una única aplicació escrita en Go (un llenguatge amb gestió segura de memòria) sobre PostgreSQL. S'executa amb un usuari sense privilegis en una imatge de contenidor mínima, sense shell, cosa que redueix al màxim la superfície d'atac. Totes les consultes a la base de dades són parametritzades, cosa que evita la injecció SQL.
La teva responsabilitat
Com que l'accés al teu compte depèn del teu correu, protegeix el correu del teu negoci amb una contrasenya robusta i verificació en dos passos. Tanca la sessió en ordinadors compartits i revisa periòdicament qui té accés al teu negoci.
Divulgació responsable
Si creus que has trobat una vulnerabilitat a Freecita, escriu a [email protected] amb els detalls i els passos per reproduir-la. Et demanem que:
- ens donis un temps raonable per investigar i corregir el problema abans de fer-lo públic;
- no accedeixis ni modifiquis dades que no són teves, no degradis el servei ni facis servir enginyeria social;
- no executis escàners automàtics que generin molt trànsit o correus.
Confirmarem la recepció, et mantindrem informat i, si vols, reconeixerem la teva aportació. El nostre security.txt està disponible per a eines automàtiques.