Seguridad
Seguro por defecto
La seguridad forma parte de Zync desde la primera línea de código y se revisa en cada versión. Esto es lo que hacemos — sin promesas vagas.
Tu cuenta
Guardadas con el algoritmo recomendado por OWASP. No se pueden revertir, ni siquiera nosotros.
El token de sesión queda cifrado por el sistema (DPAPI), nunca llega a la interfaz de la app y se cambia en cada renovación.
El inicio de sesión y el registro tienen límite de frecuencia contra la adivinación de contraseñas.
La app en tu computadora
La interfaz corre aislada, sin acceso a Node.js ni a tus archivos.
Cada llamada entre la interfaz y la app se valida y comprueba su origen.
La app solo habla con usezync.com; nada de scripts de terceros.
En el servidor
Certificado automático y HSTS. Las conexiones en tiempo real también van cifradas (wss).
Cada acción se verifica en el servidor con los roles y permisos del canal, no solo en la app.
Los archivos solo se abren con enlaces temporales. El tipo se comprueba por el contenido y las fotos pierden el GPS.
El servidor nunca accede a direcciones internas al generar vistas previas (protección contra SSRF).
La base de datos, la caché y la API no quedan expuestas a internet; solo el borde HTTPS.
Base de datos y archivos con copia diaria, guardada 14 días.
¿Encontraste una vulnerabilidad?
Gracias por ayudar. Escribe a contato@usezync.com con el asunto Seguridad, contando:
- qué encontraste y dónde (app, sitio o API);
- los pasos para reproducirlo;
- el impacto que imaginas.
Nuestros compromisos: responder en un plazo de 5 días hábiles, mantenerte informado hasta la corrección y darte crédito, si quieres. Te pedimos que no accedas a datos de otras personas, no degrades el servicio y esperes la corrección antes de divulgarlo.
También publicado en /.well-known/security.txt (RFC 9116).
Lo que todavía falta
Estamos en beta y somos transparentes sobre lo que falta:
- Firma de código del instalador (hoy Windows avisa la primera vez)
- Verificación en dos pasos (2FA)
- Copia de seguridad fuera del servidor principal
- Cifrado de extremo a extremo en los mensajes directos