Krokanti Tasks está construido con la seguridad como valor predeterminado, no como un añadido. Esto es lo que hacemos para proteger tus datos.

Cifrado de datos

En tránsito: Todos los datos entre tu navegador y nuestros servidores están cifrados mediante TLS 1.3. Imponemos HTTPS en todas partes — sin fallback a HTTP.

En reposo: Tus datos se almacenan en Neon Postgres (PostgreSQL serverless), alojado en infraestructura AWS con cifrado AES-256 en reposo.

Contraseñas: Las contraseñas de usuario se hashean con bcrypt antes de almacenarse. Nunca almacenamos ni registramos contraseñas en texto plano.

Seguridad de autenticación

Registro con email + contraseña usa bcrypt con un factor de coste alto
Google OAuth usa OAuth 2.0 — nunca vemos tu contraseña de Google
Autenticación de dos factores (TOTP): Actívala en Ajustes -> Seguridad. Funciona con cualquier app de autenticación TOTP (Google Authenticator, Authy, 1Password, etc.)
Tokens de sesión son JWT de corta duración. Las sesiones expiran al cerrar sesión o tras inactividad.

Recomendamos encarecidamente activar la autenticación de dos factores. Protege tu cuenta incluso si tu contraseña se ve comprometida.

Registro de auditoría

Cada acción significativa en tu cuenta se registra en un log de auditoría:

Inicios y cierres de sesión
Cambios de contraseña
Activación/desactivación de 2FA
Invitaciones de equipo y cambios de rol
Cambios de facturación
Creación y uso de tokens de API

El registro de auditoría es accesible por los propietarios de la cuenta y ayuda a detectar actividad sospechosa.

Tokens de API

Los tokens de API (prefijo kt_):

Se generan con 40 caracteres hexadecimales aleatorios (criptográficamente seguros)
Se almacenan como hashes SHA-256 — el token original solo se muestra una vez al crearse
Están limitados a 100 peticiones por minuto
Pueden revocarse en cualquier momento desde Ajustes -> Seguridad -> Tokens de API

Trata los tokens de API como contraseñas. Si un token queda expuesto, revócalo inmediatamente y genera uno nuevo.

Retención de datos

Cuentas activas: Los datos se conservan indefinidamente mientras tu cuenta esté activa
Cuentas eliminadas: Eliminación suave inmediata; eliminación permanente tras 30 días
Tareas eliminadas: Eliminación inmediata (sin papelera/recuperación)

RGPD

Si estás en la UE o el EEE:

Tienes derecho a acceder a tus datos (contacta con soporte)
Tienes derecho a eliminar tu cuenta (Ajustes -> Datos -> Eliminar cuenta)
No vendemos tus datos a terceros
Nuestro procesador de datos (Neon) cumple con SOC 2 Type II

Divulgación responsable

¿Encontraste una vulnerabilidad de seguridad? Envía un correo a security@krokanti.com directamente. Respondemos en 24 horas y damos crédito a los investigadores en nuestro changelog.

No abras issues públicos en GitHub para vulnerabilidades de seguridad.