APIBlogContacto

Cuentas, datos y sitios monitoreados

Seguridad tal como es hoy.

Lo que hacemos para proteger su cuenta, sus datos y los sitios que monitorea, y lo que aún no hemos hecho. Actualizado en octubre de 2026.

01. Controles

Lo que ya hacemos.

  • Su sitio solo se lee, nunca se modifica

    • WebVyze hace las mismas solicitudes públicas que un visitante. No pide acceso al servidor, al panel del CMS ni a la base de datos.
    • El plugin de WordPress, si lo instala, agrega el script de medición de visitantes reales y envía la lista de plugins y versiones; no toca otros archivos ni configuraciones.
    • Las correcciones las hace usted (o su agente de IA). Luego WebVyze vuelve a comprobar y solo marca un problema como resuelto con evidencia.

  • Cifrado y secretos

    • Todo el tráfico usa HTTPS (TLS 1.2 o superior) con HSTS.
    • Contraseñas guardadas con bcrypt. Claves de API, invitaciones y URLs de deploy guardadas solo como hash SHA-256.
    • Credenciales de integraciones (Jira, Slack, SMTP, webhooks) cifradas con AES-256 y nunca devueltas por la API.
    • Las tarjetas las procesa Stripe y las cripto BTCPay Server. Ningún dato de tarjeta pasa por WebVyze.

  • Cuentas aisladas y acceso mínimo

    • Cada recurso se comprueba contra la cuenta y el rol de quien lo pide (owner, admin, miembro, cliente), también por la API y el MCP.
    • Las claves de API y de MCP tienen alcance (lectura o escritura), caducan y actúan con los permisos de la persona que las creó.
    • El soporte solo entra en una cuenta con un motivo registrado, por hasta 60 minutos y sin acciones sensibles.
    • Verificación en dos pasos con app autenticadora para cada persona, con códigos de recuperación; también vale para quien entra con Google. El propietario de la cuenta puede exigirla a todo el equipo y es obligatoria para el equipo de WebVyze.

  • Análisis aislado

    • Toda solicitud hacia afuera pasa por una protección contra SSRF: solo direcciones públicas, IP fijada, redirecciones revalidadas y límite de tamaño.
    • Cuando está activado, el análisis en navegador corre en un contenedor separado, sin acceso a la base de datos ni a los secretos.
    • El servidor está detrás de Cloudflare y solo acepta conexiones web que vienen de ella.

  • Privacidad (LGPD y GDPR)

    • Consentimiento registrado con fecha y texto; correos confirmados en dos pasos.
    • Usted exporta sus datos y elimina su cuenta cuando quiera, en Cuenta › Privacidad.
    • Los registros no confirmados se eliminan a los 7 días; los contactos comerciales, tras el plazo de la Política de Privacidad.

  • Revisiones de seguridad

    • Dos revisiones internas de código en 2026 (septiembre y octubre): autorización, red saliente, cobros, abuso y front-end. Todas las fallas encontradas se corrigieron y quedaron cubiertas por pruebas automáticas.
    • Más de 500 pruebas automáticas corren en cada cambio antes de llegar a producción.

02. Transparencia

Lo que aún no hemos hecho.

Todavía no tenemos

  • Pentest externo o revisión por una empresa independiente.
  • Certificaciones como SOC 2 o ISO 27001.

¿Encontró una vulnerabilidad?

Escriba a privacidade@webvyze.com.br con los pasos para reproducirla. Respondemos en hasta 5 días hábiles y no tomamos acciones legales contra reportes de buena fe que no accedan a datos de otras personas ni degraden el servicio.

Acuerdo de tratamiento de datos (DPA) y cuestionarios de seguridad: mismo correo. Detalles sobre datos personales en la Política de privacidad. security.txt · Disponibilidad

Related guides

Socios

Beneficios de socios con un solo cupón.

WPLIGHT

Enlaces de socios. Podemos recibir una comisión, sin costo adicional para ti.