Seguridad

Los requisitos, pliegos de condiciones y registros de pruebas suelen ser confidenciales. En esta página describimos cómo protege el Engineering Toolbox Requirements Manager (ETRM) sus datos.

Orientación según OWASP ASVS

El desarrollo se orienta por el estándar de seguridad OWASP ASVS (Application Security Verification Standard); el objetivo es el nivel 2. No existe ninguna certificación. El ASVS es un catálogo de requisitos de libre acceso de la OWASP Foundation para la seguridad de aplicaciones web.

Transmisión cifrada

ETRM solo es accesible mediante HTTPS. Todos los datos entre su navegador o sus scripts y ETRM se transmiten cifrados.

Acceso solo para miembros del proyecto

Los proyectos pertenecen a un grupo. Solo los miembros de ese grupo pueden ver los contenidos, imágenes y archivos adjuntos de un proyecto, y cada acción depende del rol del miembro (leer, comentar, editar, administrar). Para todos los demás, el proyecto no es visible. Encontrará más detalles en Roles y permisos.

Cambios trazables

Cada cambio en un artefacto se registra con fecha y persona, al igual que los enlaces, imágenes, etiquetas y la inclusión en módulos. Las versiones anteriores de un artefacto siguen siendo consultables y pueden restaurarse. Los eventos relevantes para la seguridad se registran.

Protección del inicio de sesión

Las contraseñas no se guardan en texto plano, sino solo como valor de comprobación. Los intentos fallidos repetidos de inicio de sesión y los accesos automatizados se detectan y se frenan. Los enlaces para restablecer la contraseña solo son válidos durante un tiempo limitado y solo pueden utilizarse una vez.

Claves de acceso para la API

Las claves para la API REST solo se muestran una vez al crearlas y después se guardan exclusivamente como valor de comprobación. Puede revocar una clave en cualquier momento y limitarla a la lectura.

Sin servicios de análisis ni de seguimiento de terceros

En ETRM no funciona ningún servicio de análisis ni de seguimiento de terceros, y solo se utilizan cookies técnicamente necesarias. Las evaluaciones propias, puramente numéricas, como cuántas veces se accede a las páginas o se muestran los banners publicitarios, se realizan en nuestro servidor sin direcciones IP, sin cookies y sin relación con personas. Las fuentes y los scripts proceden de nuestro propio servidor; el contenido de terceros solo se carga donde se necesita: en el pago a través de Stripe y en los vídeos de la ayuda tras su clic.

Copia de seguridad

La base de datos y los archivos subidos se copian a diario.

Datos de pago

Los pagos los gestiona el proveedor de pagos Stripe. Los datos de tarjeta de crédito y de cuenta se introducen directamente en Stripe y no se guardan en ETRM.

Notificar problemas de seguridad

Si detecta una posible vulnerabilidad de seguridad, escríbanos a través de los datos de contacto del Aviso legal (enlace al pie de cada página) y no la publique antes de que hayamos podido revisarla. Le responderemos lo antes posible.