Datos y seguridad

Qué es el código de acceso y qué no es

DEIV está protegido por un único código de acceso que comparten todos los visitantes. Mantiene fuera a los visitantes ocasionales, pero es una barrera de comodidad, no una seguridad fuerte: cualquiera que tenga el código puede iniciar sesión y no hay cuentas individuales. Por eso, DEIV no puede distinguir a dos personas que usan el mismo navegador.

Medidas aplicadas

• El inicio de sesión se comprueba en el servidor. Todas las páginas y solicitudes necesitan una sesión válida, salvo la pantalla de inicio de sesión y sus archivos, estas páginas legales y una comprobación de estado que usa el proveedor de alojamiento. El operador inicia sesión en la misma pantalla con una credencial secreta distinta, y solo el servidor decide, únicamente a partir de la credencial, si un inicio de sesión es del operador o de un visitante. La credencial del operador tiene su propia protección: tras 3 intentos erróneos desde un mismo cliente empieza una espera creciente, y un límite global restringe los intentos erróneos de clientes desconocidos. Las herramientas propias del operador pueden enviar la misma credencial como token; los tokens erróneos también se cuentan y se frenan.
• La cookie de sesión es HttpOnly (los scripts no pueden leerla), Secure (solo se envía por HTTPS) y SameSite=Strict. El servidor la firma para que no pueda falsificarse, caduca a las 24 horas (a las 8 horas cuando inicia sesión el operador) y cerrar sesión también la termina en el servidor: una copia de la cookie de una sesión cerrada se rechaza, incluso después de un reinicio.
• Se frenan los intentos de adivinar la contraseña: cada intento erróneo se retrasa, los fallos repetidos desde un mismo cliente provocan una espera creciente de hasta 15 minutos y un límite global restringe los intentos fallidos del conjunto de clientes desconocidos. Ese límite no retiene a los navegadores y conexiones que han iniciado sesión correctamente hace poco, de modo que un atacante no puede bloquearlos.
• La consola del operador usa una credencial y una cookie distintas. El código de acceso de los visitantes nunca da acceso a ella.
• Las acciones que cambian datos compartidos por todos los visitantes, como actualizar los datos del juego o volver a comprobar la fuente de la clasificación, están reservadas al operador, y las consultas de precios del juego en directo por parte de los visitantes están limitadas.
• Las solicitudes que cambian algo están protegidas contra la falsificación de solicitudes entre sitios mediante comprobaciones de mismo origen (y, en las solicitudes de la aplicación, una cabecera obligatoria).
• Todas las páginas se envían con cabeceras de seguridad: una Content Security Policy que solo permite los scripts propios de DEIV, una política que bloquea la cámara, el micrófono, la ubicación, los pagos y el USB, HTTP Strict Transport Security en producción, prohibición de que otros sitios la incrusten, sin detección del tipo de contenido y sin enviar la página de origen a otros sitios.
• DEIV no carga scripts de terceros; todo su código lo sirve el propio DEIV.
• Los visitantes están separados: un espacio de trabajo en el servidor solo puede usarse junto con la sesión que lo abrió, y los datos de tu espacio de trabajo no se escriben en la base de datos ni en el disco del servidor, y normalmente tampoco en sus registros (consulta la Política de privacidad).
• Las vistas del operador muestran solo totales anónimos, etiquetas seudónimas para los eventos de seguridad y registros de errores sin detalles de las solicitudes.
• Las respuestas del servidor se marcan para que no se almacenen en caché, y la copia sin conexión nunca guarda respuestas del servidor ni la pantalla de inicio de sesión.
• El tamaño de las solicitudes está limitado: los cuerpos de solicitud comprimidos se rechazan antes que nada, las solicitudes normales tienen un máximo de 1 MB y la copia de tu espacio de trabajo tiene su propio tamaño máximo, un presupuesto de memoria y límites por sesión. Las entradas numéricas no válidas se rechazan.
• Las solicitudes de DEIV a Sim Companies y SimcoTools son de solo lectura, van solo a direcciones aprobadas, no llevan cookies y tienen un límite de frecuencia.
• El servidor se ejecuta sin privilegios de administrador (root), y sus dependencias de software solo se instalan en versiones fijadas y con sumas de verificación comprobadas.

Según su acuerdo de tratamiento de datos, el proveedor de alojamiento (Railway) cifra los datos en tránsito y en reposo y aplica controles de acceso por su parte.

Límites conocidos

• Si cierras el navegador sin cerrar sesión, tu sesión sigue siendo válida hasta que caduca (como máximo 24 horas después del inicio de sesión) y el servidor conserva su copia temporal de tu espacio de trabajo hasta 30 minutos después de tu última solicitud. Cierra sesión para terminar ambas a la vez.
• Cerrar sesión conserva tu espacio de trabajo en este navegador a propósito. En un dispositivo compartido, la siguiente persona que inicie sesión con el código de acceso podría verlo. Elimina tus datos antes de dejar un dispositivo compartido.
• La mayoría de los resultados derivados de tus datos se eliminan junto con la copia de tu espacio de trabajo en el servidor, pero algunos resultados intermedios en caché pueden quedarse en la memoria del servidor hasta que se sustituyen o el servidor se reinicia.
• Local Data & Backup › Remove elimina tu espacio de trabajo, pero todavía no las últimas entradas de algunas calculadoras y herramientas, que pueden contener cifras de tu empresa. Borra los datos de este sitio en tu navegador para eliminarlas también.
• Algunas mejoras adicionales detectadas en una revisión de seguridad siguen en curso.
• Ningún sistema es perfectamente seguro, y DEIV no ha sido certificado por ningún tercero.

Qué puedes hacer

• No compartas el código de acceso.
• Descarga copias de seguridad de tu espacio de trabajo y guárdalas en un lugar seguro: contienen los datos de tu empresa.
• En un dispositivo compartido o público, usa el modo solo sesión, cierra sesión y borra los datos de este sitio cuando termines.

Comunicar una vulnerabilidad

Si crees que has encontrado un problema de seguridad, comunícalo en privado al operador con detalles suficientes para reproducirlo, y deja un plazo razonable para corregirlo antes de divulgarlo. No accedas a datos de otras personas, no interrumpas el servicio y no hagas más pruebas de las necesarias para demostrar el problema.

Comunícalo mediante el formulario de contacto de la página de Contacto (tipo «Aviso de seguridad»), sin contraseñas, tokens ni datos de otras personas, o escribe a billbuffett en Discord.

Si algo sale mal

Si un incidente de seguridad afecta a datos personales, el operador lo evaluará y, cuando la ley lo exija, lo notificará a la autoridad competente y a las personas afectadas.