Esta página es un resumen de nivel público sobre cómo Furcata protege tu cuenta y tus datos. Describe los controles que ves como cliente y las responsabilidades que te corresponden a ti.
- El tráfico hacia la API y hacia la app se cifra en tránsito mediante HTTPS.
- Los datos se cifran en reposo en la infraestructura de nube administrada de Furcata.
- El acceso a la API se otorga mediante OAuth 2.0 con permisos (scopes), no compartiendo una contraseña.
- Las solicitudes entrantes de integraciones se verifican por firma antes de actuar sobre ellas.
- La autenticación de dos factores está disponible en el proveedor de identidad con el que inicias sesión.
La API de Furcata usa OAuth 2.0. Un cliente se registra con el repositorio, el usuario aprueba el acceso y el cliente recibe tokens que puede renovar. Los permisos (scopes) los declara el cliente y los otorga el usuario, así que un cliente se puede limitar exactamente a lo que necesita.
Hoy dos permisos cubren la API:
furcata.read read access to your account data
furcata.write write access to act on your accountEl servidor de autorización anuncia los permisos que admite, así que un cliente puede descubrirlos en lugar de asumirlos de forma fija.
- Trata un token como una contraseña. Otorga acceso a tu cuenta hasta que expire o se revoque.
- Guarda los tokens en un gestor de secretos o en la configuración de entorno, nunca en el control de versiones.
- No pongas tokens en URLs, en registros (logs) ni en mensajes de error.
- Rota los tokens de forma programada y de inmediato si alguno pudo haberse expuesto.
- Usa clientes separados para integraciones separadas, así revocar uno no rompe los demás.
Nunca compartas tus credenciales
Nadie en Furcata te pedirá tu contraseña, tu token ni un código enviado a tu teléfono. Una solicitud de cualquiera de esas cosas es un intento de acceder a tu cuenta.
Toda la comunicación con la API y con la app es por HTTPS. No se admiten solicitudes por HTTP sin cifrar. Las entregas de webhooks desde Furcata se envían por HTTPS al destino que registres, y el destino debe ser una URL HTTPS.
Las solicitudes entrantes de socios de integración están firmadas, y Furcata verifica la firma antes de actuar sobre el contenido. Una solicitud que no se puede verificar se descarta.
El inicio de sesión lo gestionan proveedores de identidad reconocidos: Google Sign-in y Apple Sign-in. Eso significa que Furcata no guarda tu contraseña, y las protecciones que ofrecen esos proveedores, incluida la autenticación de dos factores, están a tu disposición.
- Activa la autenticación de dos factores en la cuenta de Google o Apple que usas para iniciar sesión.
- Usa un código de acceso fuerte y único en el dispositivo donde tienes tu app de Furcata.
- Desconfía de los mensajes y enlaces que te pidan iniciar sesión, incluso si parecen venir de nosotros.
- Reporta cualquier cosa sospechosa a soporte en lugar de investigarla por tu cuenta.
Furcata funciona sobre infraestructura de nube administrada, con cifrado en reposo y en tránsito, y se somete a auditorías periódicas. Los pagos se procesan a través de un proveedor de pagos dedicado, lo que significa que los datos de tarjeta los maneja ese proveedor y Furcata no los almacena.
La seguridad es compartida. Furcata es responsable de la plataforma, el cifrado, los controles de acceso y la integridad de los datos que guardas con nosotros. Tú eres responsable de a quién le das acceso, de cómo guardas tus tokens y de cómo configuras tus integraciones.
La causa más común de una cuenta comprometida no es una falla de la plataforma, sino una credencial que se compartió, se reutilizó o se subió a un repositorio. Los hábitos anteriores previenen la mayoría de los casos.
Lee la declaración de seguridad completa
La página pública de seguridad cubre la infraestructura, la seguridad de la app y nuestros compromisos con más detalle.
Seguridad en Furcata