Resumen de seguridad
En faktoora, la seguridad es la base de cuanto desarrollamos. Como plataforma de facturación electrónica para datos financieros sensibles, protegemos sus datos en todos los niveles: desde la infraestructura y la aplicación hasta nuestros procesos internos.
Nuestros principios de seguridad
| Principio | Cómo lo aplicamos |
|---|---|
| Confidencialidad | Estrictas restricciones de acceso, cifrado de las comunicaciones externas y de los datos almacenados, alojamiento en Alemania |
| Integridad | Consultas parametrizadas a la base de datos, registro de auditoría que permite detectar manipulaciones, comprobación de integridad de las copias de seguridad |
| Disponibilidad | Copias de seguridad cifradas frecuentes en una ubicación separada, recuperación automática de los servicios, un plan de recuperación ante desastres documentado y probado |
| Mínimo privilegio | Control de acceso basado en roles, servicios con privilegios mínimos, acceso restringido a producción |
| Defensa en profundidad | Varios niveles de seguridad en la red, la infraestructura, la aplicación y los datos |
| Cambios controlados | Los cambios de código pasan por merge requests con comprobaciones de calidad automatizadas; los despliegues en producción los realiza manualmente personal autorizado |
| Seguro por defecto | Imágenes base reforzadas, ramas protegidas, servicios sin privilegios de root |
Cifrado
En tránsito
Las comunicaciones externas se cifran con TLS 1.2 o superior, entre ellas las llamadas a la API, las entregas de webhooks, la entrega de facturas electrónicas y las integraciones con terceros. Los correos electrónicos se transmiten mediante TLS cuando el servidor receptor lo admite.
En reposo
Nuestros servidores de producción utilizan cifrado de disco completo para las bases de datos y el almacenamiento de archivos, y nuestras copias de seguridad están cifradas. El acceso a las claves está restringido a unas pocas personas expresamente autorizadas.
A nivel de aplicación
El inicio de sesión se realiza a través de nuestro proveedor de identidad operado por nosotros mismos; la propia aplicación faktoora no almacena contraseñas. Las claves de API solo se almacenan como hash unidireccional y no pueden recuperarse después de su creación. Las credenciales sensibles para integraciones se cifran antes de almacenarse. Las entradas del registro de auditoría están encadenadas criptográficamente, de modo que las modificaciones posteriores son detectables.
Control de acceso
Acceso a la aplicación
faktoora admite varios métodos de autenticación:
- Correo electrónico y contraseña a través de nuestro proveedor de identidad, con protección frente a ataques de fuerza bruta y compatibilidad con la autenticación de dos factores
- Inicio de sesión único (SSO) mediante OpenID Connect para clientes empresariales
- Claves de API para integraciones programáticas, almacenadas como hash y con una caducidad obligatoria de un año como máximo
Nuestro modelo de permisos utiliza un control de acceso basado en roles con permisos granulares, accesos por empresa para cuentas con varias empresas y habilitación de funciones según el plan contratado.
Acceso de soporte
Cuando usted contacta con el soporte, el personal autorizado de faktoora puede acceder temporalmente a su cuenta para investigar y resolver la incidencia. Este acceso está restringido al personal autorizado, limitado en el tiempo y queda registrado en el registro de auditoría que permite detectar manipulaciones. En el caso de los clientes empresariales, solo se produce en el marco del contrato de encargo del tratamiento y de las CGC (cláusula 8.11), para tramitar una solicitud del cliente, para el análisis de errores o para prestar el servicio acordado.
Infraestructura de producción
El acceso a producción está restringido al personal expresamente autorizado y requiere autenticación multifactor. El entorno de producción está aislado de todos los sistemas de desarrollo: ninguna pipeline de CI/CD ni ningún sistema de desarrollo puede alcanzarlo. Los despliegues los realizan exclusivamente de forma manual personas autorizadas.
Ciclo de vida de los accesos
- Los nuevos miembros del equipo reciben accesos acordes a su rol; el acceso a producción requiere la autorización de la dirección técnica
- Revisión trimestral de los accesos a los repositorios de código y a producción
- Al producirse una baja, los accesos se revocan sin demora y se rotan las credenciales compartidas que la persona conocía
Proceso de desarrollo seguro
Los cambios de código siguen un proceso estructurado:
- Cambios trazables: los cambios están vinculados a requisitos y criterios de aceptación documentados
- Aislamiento de ramas: el trabajo se desarrolla en ramas propias y se incorpora mediante merge requests a ramas protegidas, que solo pueden fusionar los maintainers autorizados
- Comprobaciones de calidad automatizadas: cada merge request pasa por linting, comprobación de tipos, pruebas automatizadas y verificación de la compilación; mientras alguna de ellas falle, no se puede fusionar
- Análisis de seguridad automatizados: el análisis estático de código y el análisis de vulnerabilidades de las dependencias se ejecutan de forma automatizada en nuestras pipelines de compilación; los hallazgos se evalúan y se tratan en función del riesgo
- Revisión en profundidad: los cambios extensos o de mayor riesgo son revisados en profundidad, cuando es necesario, por un segundo desarrollador, incluidas pruebas manuales
- Despliegue escalonado: los cambios pasan por entornos de staging antes de llegar a producción
Seguridad de la cadena de suministro
Nuestros servicios de aplicación se basan, cuando están disponibles, en imágenes base mínimas y reforzadas. Su procedencia y su firma se verifican criptográficamente antes de cada compilación, y cada imagen base verificada va acompañada de una lista de materiales de software (SBOM). Todos los servicios se ejecutan sin privilegios de root.
Gestión de dependencias
Las dependencias de terceros se supervisan de forma continua en busca de vulnerabilidades conocidas. En nuestros proyectos, las versiones de paquetes recién publicadas solo se incorporan tras un periodo de espera, como protección frente a versiones comprometidas.
Seguridad de la infraestructura
Alojamiento
Todos los sistemas de producción se operan en centros de datos con certificación ISO 27001 en Alemania.
Separación de entornos
Los entornos de desarrollo, pruebas y producción están estrictamente separados. La producción está aislada y no es accesible desde ningún otro entorno.
Seguridad de la red
Nuestra infraestructura utiliza varios niveles de protección de red, entre ellos cortafuegos a nivel del proveedor y del host, así como autenticación a nivel de aplicación. Los almacenes de datos nunca son accesibles directamente desde Internet. Los accesos administrativos a los servidores de producción requieren autenticación multifactor.
Supervisión de errores
La supervisión de errores de la aplicación se ejecuta en nuestra propia infraestructura en Alemania. Los informes de errores se minimizan ya en el lado del cliente antes de transmitirse.
Registro de auditoría
Las acciones de los usuarios se registran en un registro de auditoría de solo adición. Cada entrada está encadenada criptográficamente con la anterior, de modo que las modificaciones posteriores son detectables.
Gestión de secretos
Los secretos de producción se proporcionan a los servicios en tiempo de ejecución, no son accesibles desde los entornos de desarrollo y pruebas, y el acceso a ellos está restringido al personal autorizado.
¿Preguntas?
Para preguntas de seguridad, diríjase a security@faktoora.com.
Para notificar una vulnerabilidad, visite nuestra página Notificación de vulnerabilidades.