Seguridad
Visqio está construido para mantener los datos de cada organización separados y privados, con aislamiento estricto, cifrado y registro de auditoría.
Las agencias guardan los datos de Search Console de muchos clientes en un solo lugar. Estos son los hechos sobre cómo Visqio los protege — no se reclama ninguna certificación que Visqio no posea.
Privacidad de la organización
- Modelo de aislamiento
- Repositorios acotados por organización
- Cada consulta se restringe a la organización de quien llama; los inserts toman organization_id del ámbito de sesión, nunca de la entrada.
- IDs entre organizaciones
- Se resuelven a 404
- Los identificadores desconocidos o ajenos son indistinguibles de los inexistentes.
- Roles
- Administrador del sistema Visqio, Administrador de marca, Gestor SEO, Analista, Cliente, Observador
- Matriz explícita de crear/leer/actualizar/eliminar/ejecutar por recurso; los miembros fijados a un cliente ven solo un cliente.
- Registro
- Solo por invitación
- Sin registro de autoservicio; las invitaciones caducan a los 7 días y son de un solo uso.
Cifrado
- Tokens de actualización de Google
- AES-256-GCM en reposo
- Texto cifrado versionado con soporte de rotación de claves.
- Contraseñas
- argon2id
- Mínimo 12 caracteres, comprobaciones de lista de filtraciones y de fortaleza.
- Transporte
- TLS vía Cloudflare
- HSTS preload, certificado de origen entre Cloudflare y el servidor.
- Tokens de sesión
- Aleatorios, almacenados con hash
- Solo se almacena un hash SHA-256 del token de sesión.
Verificación en dos pasos
En Cuenta activa la verificación en dos pasos con una aplicación y guarda los diez códigos de recuperación de un solo uso. Solo se muestran una vez. Activar/desactivar cierra otras sesiones. Luego el acceso requiere código y los cambios sensibles de proveedor/permisos una verificación de los últimos 15 minutos. Restablecer la contraseña no desactiva MFA. Inicia sesión normalmente antes de aceptar una invitación para una cuenta protegida existente.
Auditoría y sesiones
- Registro de auditoría
- Cada cambio
- Actor, acción, recurso, estado antes/después, IP, user-agent e ID de solicitud — solo anexado.
- Revocación de sesiones
- Por sesión y todas las sesiones
- Los usuarios pueden finalizar otras sesiones; los administradores pueden revocar las sesiones de un usuario; el restablecimiento de contraseña las revoca todas.
- Limitación de tasa
- Ventana deslizante por IP y por cuenta
- El inicio de sesión, el restablecimiento de contraseña y las solicitudes de invitación fallan cerrados si el limitador no está disponible.
- Cabeceras
- CSP con nonce por solicitud
- Además de X-Frame-Options DENY, nosniff, política de referrer estricta.
Protección de marca
- Vigilancia de phishing
- Detección de hosts similares en las SERP de marca
- Los candidatos se clasifican con pruebas, nunca se informan automáticamente.
- Captura de pruebas
- Capturas de pantalla y cabeceras
- Almacenadas fuera de la raíz web y servidas solo a miembros autorizados.
- Sitios de prueba
- Contenido idéntico para cada user-agent
- No existe ninguna ruta de código de cloaking; el contenido se revalida antes de cada renderizado.
Divulgación responsable
Si crees que has encontrado un problema de seguridad en Visqio, escribe a security@visqio.com con los pasos para reproducirlo. Por favor, no accedas a datos que no sean tuyos y danos un tiempo razonable para corregir el problema antes de divulgarlo. Confirmamos los informes en unos pocos días hábiles.
El tratamiento de datos personales se describe en la Política de Privacidad.
Solicitar invitación
Cuéntanos sobre tu equipo y tu caso de uso. Revisamos cada solicitud manualmente.