Seguridad
Casi todo el trabajo ocurre bajo la línea de flotación.
Los visitantes solo ven tus páginas. Por debajo, cada sitio de Rogueberg descansa sobre cinco capas de protección que configuramos, probamos y vigilamos mientras lo alojemos.
-
- TLS 1.3 y HSTS
- firewall de aplicaciones web
- filtrado de DDoS
- límites de intentos en accesos y formularios
- gestión de bots
-
- Validación de entradas
- protección CSRF
- Content Security Policy
- acceso con doble factor para administradores
- análisis de dependencias contra CVE conocidos
-
- Instalación mínima de Linux
- SSH solo con clave, acceso root desactivado
- firewall que todo lo deniega por defecto
- actualizaciones de seguridad automáticas
- bloqueo de ataques de fuerza bruta
-
- Cifrado en tránsito y en reposo
- bases de datos separadas para registros sensibles
- acceso con mínimo privilegio
- copias cifradas cada noche fuera del servidor
- pruebas de restauración
-
- Comprobación de disponibilidad cada minuto
- alertas de intrusión y malware
- revisión de registros
- avisos de caducidad de certificados
- informe mensual de seguridad
Lista previa al lanzamiento
Nada sale en vivo hasta que todas las casillas están marcadas.
Usamos la misma lista en cada proyecto, desde la web de seis páginas de una startup hasta el portal de una universidad. En la entrega recibes una copia firmada.
- Todo el tráfico forzado a HTTPS con HSTS
- Cabeceras de seguridad y CSP activas
- Zonas de administración con acceso de doble factor
- Sin contraseñas por defecto ni claves compartidas
- Formularios y accesos revisados según el OWASP Top 10
- Dependencias analizadas contra CVE conocidos
- Una copia restaurada en un servidor de pruebas
- Alertas probadas de principio a fin
Si algo sale mal
Te enteras primero por nosotros, y con un plan.
- 1 · Detectar
Las alertas automáticas llegan a un ingeniero en cuanto falla un control o aparece algo inusual en los registros.
- 2 · Contener
Aislamos la parte afectada, bloqueamos el origen y protegemos tus datos antes que nada.
- 3 · Restaurar
Corregimos la causa y, si hace falta, recuperamos el sitio desde una copia limpia y probada.
- 4 · Informar
Recibes un informe por escrito: qué pasó, qué cambiamos y qué debes notificar a los reguladores.
Hecho teniendo en cuenta las normas que tu organización debe cumplir.
Diseñamos sistemas que facilitan el cumplimiento. La certificación formal y el asesoramiento legal siguen en manos de tus auditores y abogados.
Ley DPDP de 2023
Avisos de consentimiento, consentimiento parental para menores y datos que puedes localizar, exportar y borrar cuando se solicite.
Directrices de CERT-In
Registros conservados y datos del incidente preparados, para notificar los incidentes en el plazo exigido de 6 horas.
RGPD
Un consentimiento de cookies que funciona, alojamiento en la UE cuando hace falta y páginas de privacidad que reflejan lo que el sitio hace de verdad.
OWASP Top 10
Cada formulario, acceso y API revisado frente a los riesgos más comunes de las aplicaciones web.
¿Te preocupa tu sitio actual?
Lo revisamos y te decimos con claridad qué hay que arreglar, nos contrates o no.