Seguridad en Acatudy

Cifrado

• Todo el tráfico va por HTTPS y los navegadores reciben la orden de usar solo HTTPS (HTTP Strict Transport Security).
• Las sesiones están cifradas y se guardan en el servidor; las cookies de sesión son HTTP-only y no las pueden leer los scripts.
• Los ajustes sensibles, como las credenciales de inicio de sesión con Google de cada academia y los secretos que usan los importadores, se guardan cifrados en la base de datos.
• Los pagos con tarjeta los gestiona Stripe. Acatudy nunca ve ni guarda números de tarjeta completos.

Aislamiento entre academias

Cada registro de Acatudy pertenece a una academia y cada consulta a la base de datos se filtra por esa academia de forma automática. Al crear algo, siempre se asigna a la academia de quien lo crea, diga lo que diga la petición. Los ficheros se guardan en la carpeta propia de cada academia y la plataforma se niega a leer o escribir fuera de ella.

En cada versión, pruebas automáticas intentan leer y modificar datos entre academias, incluidos escenarios de robo de cuenta y de línea de comandos.

Control de accesos

• Cada persona tiene un rol en cada academia: propietario, administrador, personal, profesor o alumno.
• Los profesores solo abren las asignaturas que tienen asignadas y solo las partes del panel que permite su rol. Si les quitas el acceso, se aplica en su siguiente clic.
• Los alumnos solo ven el contenido de las asignaturas y cursos en los que están matriculados.
• Cuando el soporte de Acatudy necesita ver una academia como su administrador para ayudar, esa sesión caduca a los 30 minutos y no puede borrar datos ni cambiar la facturación.

Acceso y cuentas

• Los intentos fallidos de inicio de sesión están limitados por cuenta y por dirección de red, y la cuenta se bloquea temporalmente tras varios fallos.
• Los alumnos crean su propia contraseña desde un enlace personal; las academias nunca envían contraseñas por email. Las contraseñas iniciales temporales caducan a los 7 días.
• Las contraseñas que se eligen al registrarse como alumno y en el formulario de cambio de contraseña se comprueban contra filtraciones conocidas.
• Las academias pueden permitir el inicio de sesión con Google a alumnos y equipo.

Ficheros y subidas

• Los vídeos y audios se entregan con enlaces firmados temporales que caducan; el resto de ficheros se sirve por rutas que comprueban quién los pide.
• Cada subida se comprueba por su contenido real, no solo por el nombre. Se rechazan ejecutables, instaladores y documentos de Office con macros, también dentro de ficheros zip.
• Las imágenes SVG se analizan y se rechazan si contienen contenido activo.
• Los ficheros de las academias se guardan en almacenamiento de objetos en Estados Unidos o en la Unión Europea, según la academia.

Protecciones de la plataforma

• Hay límites de peticiones en el inicio de sesión, el registro, el envío de exámenes, las descargas, los pagos y la API.
• Las cabeceras de seguridad impiden que otras webs incrusten el panel, evitan que el navegador adivine el tipo de fichero y limitan el acceso a cámara, micrófono y ubicación. Se aplica una política de seguridad de contenido (CSP) básica y se está desplegando otra más estricta.
• Las acciones sensibles, como cambios de facturación, dominios propios, importaciones y exportaciones, cambios de rol de profesores, pagos y accesos de soporte, se guardan en un registro de auditoría con fecha, usuario y dirección de red.
• Hacemos copias de seguridad periódicas de la base de datos, también antes de cada despliegue.

Propiedad y borrado de datos

• Tu academia es dueña de su contenido y de los datos de sus alumnos. Puedes exportar tu banco de preguntas, tus libros de notas y tus cobros.
• Los alumnos pueden descargar sus datos personales y darse de baja de la academia ellos mismos.
• Cuando una academia se cierra y se solicita el borrado, se eliminan sus datos, ficheros, cuentas de usuario exclusivas y dominios.
• Los registros de consentimiento de cookies se purgan automáticamente cuando ya no son necesarios.

Tienes más detalles en nuestra política de privacidad.

Consultas y avisos de vulnerabilidades

Si tu centro tiene un cuestionario de seguridad o crees haber encontrado una vulnerabilidad, escribe a [email protected]. Incluye los pasos para reproducir el problema y no accedas a datos de otras personas mientras lo pruebas.