Seguridad en Kodo

Infraestructura

Kodo funciona sobre Vercel para alojamiento y cómputo, con una base de datos Postgres gestionada (Neon) para los datos de la aplicación. Cuando necesitamos almacenamiento de objetos (por ejemplo, los informes PDF en planes Ganar), usamos Vercel Blob. Nuestra región de despliegue principal es Estados Unidos. Vercel gestiona el tráfico en el edge, la terminación TLS y la mitigación de DDoS en el borde de la red. Neon gestiona la replicación de la base de datos, la recuperación a un punto en el tiempo y los backups gestionados.

Los dos proveedores publican su propia documentación de seguridad, que puedes leer directamente: vercel.com/security y neon.tech/security. Los dos tienen certificación SOC 2 Tipo II.

Cifrado

Todo el tráfico entre tu navegador y Kodo va cifrado con TLS 1.2 o superior. No aceptamos conexiones por HTTP plano. Las conexiones de base de datos desde nuestros servidores de aplicación a Postgres también van cifradas con TLS. Los datos en reposo en la base de datos están cifrados con AES-256 por el proveedor de la base de datos. Los backups gestionados van cifrados con el mismo estándar.

No guardamos contraseñas. La autenticación la gestiona Clerk, que usa hashing de contraseñas estándar del sector y soporta opciones modernas sin contraseña (passkeys, magic links, inicio de sesión social).

Autenticación y acceso

La autenticación de usuario final la gestiona Clerk. Clerk soporta autenticación multifactor (MFA) para las cuentas que la activan, y recomendamos activarla. Las sesiones usan cookies seguras, solo HTTP, con los flags Secure y SameSite activados.

El acceso interno a los sistemas de producción está limitado al equipo pequeño de ingenieros que lo necesita para operar el servicio. Cada miembro del equipo entra en las consolas de los proveedores con single sign-on y MFA obligatoria. El acceso a la base de datos de producción queda registrado. Rotamos las credenciales de forma periódica e inmediatamente cuando cambia el rol de un miembro del equipo.

Seguridad de la aplicación

La aplicación sigue prácticas estándar de seguridad web:

• Cabeceras de Content Security Policy para limitar qué scripts y recursos carga el navegador.
• Strict Transport Security (HSTS) para que los navegadores se nieguen a hablar con Kodo por HTTP plano.
• Cookies seguras, solo HTTP y SameSite para cualquier estado de sesión.
• Consultas a la base de datos parametrizadas a través de nuestro ORM. No construimos SQL concatenando strings, lo que cierra la puerta a la inyección en el origen.
• Validación de entrada en el servidor en cada endpoint de la API, usando librerías de validación de esquemas.
• Rate limiting en los endpoints públicos (incluida la comprobación gratis) para frenar el abuso y los intentos de credential stuffing.
• Escaneo de dependencias en cada pull request para enterarnos cuando una librería que usamos tiene una vulnerabilidad conocida.

Procesadores de terceros

Usamos una lista corta de proveedores para entregar el producto. Cada uno fue elegido porque su postura de seguridad está bien documentada y es apropiada para los datos que maneja:

• Vercel para alojamiento, cómputo en el edge y TLS.
• Neon para Postgres gestionado, backups y recuperación a un punto en el tiempo.
• Clerk para autenticación de usuario final y gestión de sesiones.
• Stripe para procesamiento de pagos. Stripe tiene certificación PCI-DSS Nivel 1. Nunca vemos ni guardamos números de tarjeta completos; de eso se ocupa Stripe en su propia infraestructura.
• Resend para email transaccional (tu informe, actualizaciones mensuales, avisos de seguridad).
• APIs de asistentes de IA de OpenAI, Anthropic, Google y xAI, usadas para hacer las comprobaciones que prometemos. Enviamos las preguntas públicas que haría un cliente (por ejemplo, "mejor peluquería en Malasaña"). No enviamos datos de cuenta ni información personal.

La lista completa de proveedores y lo que procesa cada uno está en nuestra política de privacidad.

Monitoreo y respuesta a incidentes

Monitoreamos producción buscando patrones de tráfico inusuales, picos de error e intentos fallidos de autenticación. Las alertas críticas paginan al ingeniero de guardia. Revisamos los registros cada semana y después de cualquier incidente relevante.

Si descubrimos un incidente de seguridad que afecta a los datos de los usuarios, avisaremos a los usuarios afectados sin retraso indebido, y en cualquier caso dentro de 72 horas de confirmar el incidente. Esto coincide con el plazo de notificación del GDPR. El aviso te contará qué pasó, qué datos estuvieron involucrados, qué hemos hecho al respecto, y qué (si algo) deberías hacer por tu lado.

Backups y recuperación

La base de datos se respalda a diario por el proveedor de Postgres gestionado, con recuperación a un punto en el tiempo de los últimos 7 días. Los backups van cifrados y se guardan en la misma región que la base de datos principal. Probamos el procedimiento de restauración cada trimestre contra un entorno de staging para saber que funciona de verdad antes de necesitarlo.

Privacidad y minimización de datos

Recogemos el mínimo necesario para hacer la comprobación y entregar el informe: el nombre de tu negocio, la ciudad en la que estás y (en planes de pago) la dirección de email a la que enviamos actualizaciones. No te pedimos la tarjeta en la comprobación gratis. No vendemos datos. No compartimos la información de tu cuenta con otros clientes.

El desglose completo de qué recogemos, cuánto tiempo lo guardamos y cómo pedir el borrado está en la política de privacidad.

Lo que aún no hacemos

Ser honestos sobre los huecos importa tanto como listar las prácticas. Esto es lo que no tenemos hoy:

• Certificación SOC 2. Seguimos las prácticas que busca una auditoría SOC 2, pero aún no estamos certificados. Tenemos previsto perseguir SOC 2 Tipo II a medida que crezcamos.
• Programa formal de bug bounty. Aún no tenemos un bounty pagado. Sí aceptamos y respondemos a reportes de vulnerabilidades en [email protected] (ver abajo).
• Cuestionarios de seguridad personalizados para procurement de empresa. Nos centramos en pequeños negocios, no en ciclos de procurement de empresa. Si necesitas una revisión de seguridad profunda para una organización grande, Kodo aún no es el encaje correcto.
• Informes de pentest bajo demanda. Hacemos revisiones de seguridad internas en cada lanzamiento importante. Las pruebas de penetración por un tercero están en la hoja de ruta.

Reportar una vulnerabilidad

Si crees que has encontrado un problema de seguridad en Kodo, por favor escribe a [email protected]. Incluye los pasos para reproducirlo, el impacto que crees que tiene, y cualquier prueba de concepto con la que te sientas cómodo compartir. Respondemos en 5 días hábiles, normalmente en 1.

No tomaremos acciones legales contra investigación de seguridad de buena fe, mientras no accedas a datos de usuarios más allá de lo necesario para probar el problema, no degrades el servicio para otros usuarios, y nos des una ventana razonable para arreglarlo antes de la divulgación pública.

Última actualización: 28 de mayo de 2026. Kodo es un equipo pequeño. Esta página describe nuestras prácticas actuales, no una certificación. La actualizamos a medida que el producto evoluciona.