Seguridad en Fuxelia Flow

Tu ingreso y tu sesión

• Sin contraseñas. Entrás con tu correo y un código de 6 dígitos que te llega por mail. La plataforma no usa contraseñas y no guarda ninguna.
• El código de ingreso es de un solo uso, vence a los 10 minutos y se puede probar hasta 3 veces. En la base de datos no queda el código: queda solo una huella (hash) que sirve para comprobarlo.
• La sesión usa una cookie protegida (HttpOnly, Secure y SameSite=Strict): el código de la página no puede leerla y el navegador no la manda desde otros sitios. Dura hasta 7 días.
• El identificador de tu sesión no se guarda en la base de datos: se guarda solo su huella (hash). Quien viera una copia de la base no podría usar tus sesiones.
• Protección contra pedidos falsificados. Además de la cookie, todo pedido que cambia datos exige un encabezado de seguridad propio de la plataforma.

Verificación en dos pasos

Es opcional y la recomendamos. Podés activar una de estas formas, desde el menú de tu perfil, en «Seguridad»:

• una app autenticadora (por ejemplo Google Authenticator), con un código de 6 dígitos que cambia cada 30 segundos; un mismo código no se puede usar dos veces;
• la huella o Face ID de tu dispositivo (WebAuthn). La huella nunca llega a nuestros servidores: el dispositivo solo confirma que sos vos;
• códigos de respaldo de un solo uso, para cuando no tenés a mano tu dispositivo.

Mientras el segundo paso está pendiente, el servidor bloquea todo lo demás (no es solo una pantalla). Después de 5 intentos fallidos se cierra la sesión y hay que volver a empezar.

Cada organización, separada de las demás

• Los datos de cada organización están separados. Cada pedido se filtra por la organización de tu sesión; la plataforma nunca toma esa organización de lo que manda el navegador.
• Los permisos los hace cumplir el servidor, no solo la pantalla: roles (Administrador General, Administrador Zonal, Usuario Operador), zonas, tableros asignados y «solo ver lo que me asignen». Una tarjeta de otra zona o de otra organización responde como si no existiera.
• Lo probamos con pruebas automáticas de acceso cruzado entre organizaciones, zonas y roles, que corremos antes de publicar los cambios.

Datos sensibles guardados cifrados

• El permiso de conexión con Google (Gmail y Calendar) y el secreto de tu app autenticadora se guardan cifrados con AES-256-GCM, con una clave que no está en la base de datos sino en los secretos del servicio de alojamiento: una copia de la base sola no alcanza para usarlos.
• Podés desconectar tu cuenta de Google cuando quieras desde el menú del perfil, en «Mis datos y accesos»: se borra el permiso guardado y se le avisa a Google que lo revoque.
• Fuxelia Flow no recibe ni guarda los datos completos de tu tarjeta: el cobro lo hacen Mercado Pago y PayPal.

La conexión y el navegador

• La conexión viaja cifrada (HTTPS) y le indicamos al navegador que use siempre HTTPS con esta página durante un año (HSTS).
• La página no se puede abrir dentro de otra (se evita que alguien la disfrace con un marco), una política de seguridad de contenido limita desde dónde se cargan scripts, estilos, tipografías y conexiones, y le indicamos al navegador que no dé acceso a la cámara, al micrófono ni a la ubicación.
• Los archivos internos del proyecto (configuración, base de datos, respaldos) no se publican: el sitio solo entrega una lista cerrada de archivos, y cualquier función nueva del servidor nace privada.

Registros, copia de tus datos y baja

• Registro de actividad: quién hizo qué dentro de la organización (altas, eliminaciones, cambios del equipo, firmas, plazos confirmados, exportaciones…). Los administradores lo ven; no se puede editar.
• Registro de accesos (todos los planes): cuándo entró cada persona y los intentos que no salieron bien, con un tipo de dispositivo genérico («Chrome en Windows»). Cada persona ve los suyos y el Administrador General ve los del equipo. Este registro no guarda la dirección IP y se conserva 365 días.
• Copia de tus datos: el Administrador General puede descargar los datos de su organización, sección por sección, en CSV o JSON, desde «Mis datos y accesos». Nunca incluye contraseñas ni claves. Cada descarga queda registrada.
• Baja y eliminación: al dar de baja la suscripción podés pedir que se eliminen todos los datos de tu organización escribiendo a [email protected]: se eliminan dentro de los 5 días hábiles, salvo lo que la ley obligue a conservar. El detalle está en la Política de privacidad.

Protección contra abusos

• El pedido de códigos, el ingreso, el segundo paso y las acciones sensibles tienen topes de intentos por persona y por período. Para frenar abusos del ingreso, esos contadores usan la dirección IP del dispositivo y se borran solos a los 7 días.
• La inteligencia artificial (Gemini, de Google) recibe solo lo que enviás a esas funciones: el chat de soporte, el borrador de respuesta a un mensaje o el archivo que importás con IA. No recorre el resto de tu cuenta.

Cómo avisarnos de un problema

Si encontrás una falla de seguridad, escribinos a [email protected] con el asunto «Seguridad», contando qué viste y cómo reproducirlo. Pedimos que no accedas a datos de otras personas ni los copies para probarlo. Respondemos y, si corresponde, corregimos y avisamos.