Seguridad por diseño

Seguridad por diseño significa que incorporamos la seguridad desde el principio, en la arquitectura, el desarrollo y la operación, en lugar de añadirla después. Partimos de tres principios: confianza mediante la transparencia, prevenir antes que reaccionar y mejora continua.

En esta página solo describimos medidas que podemos demostrar en nuestro código o en la documentación de nuestro proveedor de alojamiento. Si algo no está implantado, lo decimos.

CoachBall funciona en Laravel Cloud, una plataforma de alojamiento gestionada sobre la infraestructura de Amazon Web Services (AWS), con la red de Cloudflare delante.

Red edge: cada solicitud llega primero a la ubicación de Cloudflare más cercana. Allí pasa por la mitigación de DDoS y un firewall de aplicaciones web (WAF) antes de llegar a la aplicación. Los archivos estáticos como CSS, JavaScript e imágenes se guardan en caché en el edge, y esa caché se vacía en cada despliegue.

Red de cómputo: la aplicación se ejecuta en una red privada y solo es accesible a través de la red edge, no directamente desde internet.

• Protección DDoS: los ataques de saturación y amplificación se absorben en el edge antes de llegar a la aplicación.
• Firewall de aplicaciones web: el OWASP Core Ruleset de Cloudflare filtra ataques comunes, como la inyección, antes de que lleguen a la aplicación.
• Conexiones cifradas: todo el tráfico usa HTTPS (TLS), con certificados que se renuevan automáticamente.
• Cabeceras de seguridad: nuestras páginas envían una Content Security Policy que limita desde qué dominios externos puede cargar contenido una página e impide que otros sitios incrusten CoachBall, además de X-Content-Type-Options: nosniff y una Referrer-Policy estricta.

• Las contraseñas se guardan solo como hash unidireccional (bcrypt). Nadie puede leerlas, tampoco nosotros.
• Los intentos de inicio de sesión están limitados, para que una contraseña no se pueda adivinar sin fin.
• Las cookies están cifradas y cada formulario está protegido contra la falsificación de solicitudes entre sitios (CSRF).
• Acceso por rol: lo que alguien puede ver y hacer depende de su rol en el equipo o el club, por ejemplo entrenador, jugador o padre.

Cada conexión con CoachBall está cifrada, y nuestro proveedor de almacenamiento guarda cifrados (AES-256) las fotos y archivos subidos. Las contraseñas se guardan como hash unidireccional, y los tokens de acceso de servicios conectados como YouTube están cifrados en nuestra base de datos.

No afirmamos que todos los datos estén cifrados a nivel de aplicación. Nunca vendemos información de los equipos, y puedes eliminar tu cuenta y tus datos en cualquier momento.

CoachBall no está certificado en ISO/IEC 27001 y no tiene un informe SOC 2. Usamos los principios de estos estándares como guía, por ejemplo para el control de acceso, el cifrado y la gestión de incidentes.

Nuestro proveedor de alojamiento Laravel Cloud tiene la certificación ISO/IEC 27001 y una atestación SOC 2 Type 2 para Seguridad, Confidencialidad y Disponibilidad. Eso se refiere a la plataforma en la que funciona CoachBall, no a CoachBall en sí.

Para preguntas concretas de cumplimiento, como un acuerdo de encargo del tratamiento, contáctanos.

La seguridad es un proceso continuo. Monitorizamos errores y registros de la aplicación, actualizamos las dependencias con regularidad y revisamos nuestro código en busca de problemas de seguridad. Cuando encontramos un problema, lo solucionamos y ajustamos esta página si hace falta.

¿Tienes preguntas sobre nuestro enfoque o necesitas más detalles técnicos o legales? Contáctanos.