Política de Seguridad
Fecha de vigencia: 1 de enero de 2026 · Última actualización: 21 de mayo de 2026
Nos tomamos en serio la seguridad de AgileDeck y los datos de nuestros usuarios. Esta página describe cómo informar vulnerabilidades y qué puede esperar de nosotros.
Divulgación Responsable
Si cree que ha encontrado una vulnerabilidad de seguridad en AgileDeck, le recomendamos que nos lo notifique de manera responsable. Nos comprometemos a trabajar con usted para verificar y abordar el problema con prontitud.
Envíenos un correo electrónico
Envíe un informe detallado a support@agiledeck.org. Cifre los informes confidenciales con nuestra clave PGP a continuación.
Incluir pasos de reproducción
Proporcione una descripción clara, pasos para reproducir y el impacto potencial. Las capturas de pantalla o el código de prueba de concepto son útiles, pero nunca obligatorios.
Recibir reconocimiento
Acusaremos recibo de su informe dentro de las 48 horas y proporcionaremos un cronograma para la reparación.
Crédito y agradecimiento
Con su permiso, le daremos crédito públicamente en nuestros avisos de seguridad una vez que se resuelva el problema.
Alcance
Los siguientes activos están dentro del alcance de los informes de vulnerabilidad:
En Alcance
- agiledeck.org y subdominios
- Aplicación web AgileDeck
- Autenticación y manejo de sesiones
- Puntos finales de la API
- Centros de SignalR en tiempo real
Fuera de Alcance
- Servicios de terceros / proveedores de CDN
- Ataques de denegación de servicio
- Seguridad física
- Ingeniería social
- Campañas de spam o phishing
Nuestras Prácticas de Seguridad
- Todos los datos en tránsito se cifran a través de TLS 1.2+
- Las contraseñas están codificadas con ASP.NET Core Identity (PBKDF2 + sal)
- Protección CSRF en todas las solicitudes de cambio de estado a través de tokens antifalsificación
- Consultas parametrizadas a través de Entity Framework Core: sin concatenación de SQL sin procesar
- Escaneo de dependencias y alertas automáticas de vulnerabilidad en cada confirmación
- Limitación de velocidad en los puntos finales de autenticación para evitar ataques de fuerza bruta
- Pruebas de penetración periódicas por parte de terceros independientes
- Los tokens API de terceros (Atlassian/Bitbucket) se cifran en reposo utilizando la API de Protección de Datos de ASP.NET Core (AES-256-CBC + HMACSHA256). Los tokens solo se descifran del lado del servidor en el momento en que se ejecuta una sincronización iniciada por el usuario, y nunca se incluyen en ninguna respuesta HTTP ni en el estado del lado del cliente.
- Autenticación de dos factores (TOTP) disponible para todas las cuentas de usuario
- Las imágenes de perfil se redimensionan y almacenan en el servidor; nunca son accesibles para otros equipos
Clave Pública PGP
Para divulgaciones confidenciales, cifre su correo electrónico utilizando nuestra clave PGP: