Seguridad

Cada credencial se firma con dos algoritmos sobre los mismos bytes canónicos (JCS): Ed25519 (clásico) y ML-DSA-65, la firma post-cuántica estandarizada por NIST en FIPS 204. Toda credencial incluye siempre la prueba clásica; alterar cualquier campo invalida ambas firmas.

La clave privada de firma nunca reside en el código, en variables de entorno ni en secretos del pipeline. Se custodia en HashiCorp Vault (Transit para Ed25519, KV para el material ML-DSA), y el servicio de firma se autentica por AppRole con privilegios mínimos y credenciales de vida acotada. Los scripts de respaldo y rotación operan con roles de Vault de mínimo privilegio, no con el token raíz.

La base de datos aplica Row-Level Security por emisor: cada organización solo accede a sus propias credenciales, logros, webhooks y miembros. El acceso de staff es por enlace mágico (passwordless), con tokens de un solo uso y corta vida, y sesiones de duración acotada. La red interna está segmentada: la base de datos y Vault no son accesibles desde los contenedores de cara al público.

El origen solo acepta tráfico a través de Cloudflare (TLS en el borde, WAF y rate limiting), con límites de tasa adicionales en la aplicación. Las respuestas incluyen cabeceras de seguridad (HSTS, X-Frame-Options, Content-Security-Policy con nonce por-petición, entre otras). Las páginas públicas de credenciales llevan noindex para no exponer datos personales a los buscadores.

Se realizan respaldos cifrados (cifrado de extremo con age) de la base de datos y del estado de Vault, custodiados fuera del servidor. La identidad did:web permite que las credenciales ya emitidas sigan siendo verificables de forma independiente a esta plataforma.

Si encontraste un problema de seguridad, escríbenos a [email protected]. Publicamos un canal en /.well-known/security.txt (RFC 9116). Agradecemos la divulgación responsable: te pedimos darnos un plazo razonable para remediar antes de hacerla pública, y no acceder a datos de terceros ni degradar el servicio durante las pruebas.

Responsable de la plataforma (mandante del servicio): TTPSEC SpA (Chile) · ttpsec.cl.