Política de Seguridad – Wardio

1. Protección de Datos y Encriptación

Seguridad de Tokens OAuth

• Método de encriptación: Fernet (AES-128 en modo CBC)
• Gestión de claves: Las claves se almacenan en variables de entorno, nunca en el código
• Alcance: Tokens de Gmail y Outlook completamente encriptados

Encriptación en Tránsito

• HTTPS: Redirección SSL forzada en producción
• HSTS: Configurado con max-age de 1 año
• Versión TLS: 1.2 o superior
• Certificados: Let's Encrypt con renovación automática

Encriptación en Reposo

• Base de datos: PostgreSQL con encriptación gestionada por el proveedor
• Contraseñas: PBKDF2-HMAC-SHA256 de Django (600,000 iteraciones)

2. Autenticación y Control de Acceso

Autenticación de Usuarios

• Verificación de email: Obligatoria para todos los usuarios
• Login social: OAuth2 de Google y Microsoft con verificación automática
• Seguridad de sesión: Cookies HTTPS-only con protección CSRF

Acceso Administrativo

• 2FA: Autenticación de dos factores requerida para superusuarios
• Bloqueo de cuenta: 5 intentos fallidos resultan en 30 minutos de bloqueo

Protección RISC (Cross-Account)

• Monitoreo de eventos de seguridad de Google
• Revocación automática de sesiones comprometidas
• Invalidación de tokens ante cambios de credenciales

3. Minimización de Datos

Wardio implementa filtrado automático para excluir correos sensibles:

• Restablecimientos de contraseña
• Códigos de autenticación de dos factores (2FA)
• Alertas de seguridad
• Contraseñas temporales
• Notificaciones de desbloqueo de cuenta

Estos filtros se aplican automáticamente durante la sincronización de correos para proteger tus credenciales de autenticación.

4. Gestión de Vulnerabilidades

Escaneo de Dependencias

• Escaneos automáticos semanales con pip-audit
• Parches inmediatos para vulnerabilidades críticas/altas
• Mantenimiento proactivo de dependencias actualizadas

Cabeceras de Seguridad

• X-Content-Type-Options: nosniff
• X-Frame-Options: DENY
• Strict-Transport-Security con max-age de 1 año
• Referrer-Policy: same-origin

5. Respuesta a Incidentes

En caso de eventos de seguridad, seguimos procedimientos establecidos:

• P0 (Crítico): Notificación a usuarios afectados dentro de 72 horas
• P1 (Alto): Invalidación automática de tokens comprometidos
• Investigación: Revisión de logs y documentación completa
• Post-mortem: Actualización de controles de seguridad

6. Servicios de Terceros

Procesamiento de Correos

• Gmail API: OAuth2 con acceso de solo lectura
• Outlook API: Microsoft Graph con permisos mínimos
• Almacenamiento de tokens: Encriptados, con alcance de usuario

Categorización con IA (Opcional)

• Proveedor: OpenAI GPT-4
• Opt-In: Requiere consentimiento explícito del usuario
• Datos enviados: Solo nombre del comerciante, monto y fecha (sin contenido completo del correo)

7. Cumplimiento GDPR

• ✅ Exportación de datos (Art. 20)
• ✅ Eliminación de cuenta (Art. 17)
• ✅ Consentimiento para funciones de IA
• ✅ Política de Privacidad y Términos de Servicio
• ✅ Verificación de email obligatoria

8. Reportar Vulnerabilidades

Si descubrís una vulnerabilidad de seguridad, por favor notificanos de inmediato:

• Email de seguridad: security@wardio.app
• Tiempo de respuesta: Dentro de 48 horas

También podés reportar problemas de privacidad a privacy@wardio.app

9. Auditorías y Revisiones

• Última auditoría: Diciembre 2025
• Hallazgos implementados: Encriptación de tokens OAuth, endurecimiento HTTPS, parches de vulnerabilidades
• Próxima revisión: Marzo 2026

10. Referencias

• Lista de verificación GDPR
• OWASP Top 10
• Protocolo RISC de Google
• Mejores prácticas de seguridad de Django