Seguridad y límite de intentos
Protección contra abusos
El registro, el inicio de sesión, el restablecimiento de contraseña, el desbloqueo de páginas de estado y la suscripción por correo tienen un límite de intentos por dirección de correo o página, y por dirección del protocolo de internet (IP) del cliente. Tras demasiados intentos, la acción se bloquea durante 10 minutos, luego 1 hora y luego 1 día. En el inicio de sesión y el desbloqueo solo cuentan los intentos fallidos. Los contadores se reinician tras 24 horas sin intentos.
El registro y la suscripción por correo también exigen un captcha de prueba de trabajo que se ejecuta en tu navegador.
El registro, el restablecimiento de contraseña, las invitaciones y la baja responden igual exista o no la dirección.
Cómo se protegen los datos
| Datos | Protección |
|---|---|
| Contraseñas de cuentas y contraseñas de páginas de estado | Se guardan como hashes BCrypt. |
| Claves de la interfaz de programación de aplicaciones (API) | Se guardan como hashes SHA-256 y se muestran una sola vez. |
| Tokens de enlaces secretos | 256 bits de aleatoriedad. |
| Mensajes de estado | El Markdown se reduce a encabezados, énfasis, listas, citas y código. Se eliminan enlaces, imágenes y HTML. |
| Monitores | Se bloquean las solicitudes a direcciones de loopback, privadas e internas, también tras cambios en el sistema de nombres de dominio (DNS). |
En el navegador
Los formularios usan tokens de Cross-Site Request Forgery (CSRF). Las páginas se sirven con una cabecera Content-Security-Policy, una cabecera Strict-Transport-Security y una política de referrer estricta.
Aislamiento entre servicios
Cada página del panel de gestión comprueba que eres miembro del servicio y que tu rol permite la acción. Las páginas de otro servicio responden con 403 o 404.