RAXARDel Caos al Éxito
Cargando ecosistema
Cargando ecosistema
Seguridad y Compliance
RAXAR no improvisa seguridad. Aplicamos controles técnicos verificables desde el día uno — los mismos que usamos en nuestra propia operación. Servidores en la UE (Hostinger · datacenter con certificación ISO 27001 según el proveedor). Sin certificaciones corporativas propias todavía; el roadmap abajo lo dice con franqueza.
Documento vivo · última revisión: S392 · 2026-09-23
Estado en tiempo real: status.raxar.es
Row-Level Security en PostgreSQL en cada tabla con datos de cliente. El aislamiento es matemático a nivel de base de datos, no por capa de aplicación.
TLS 1.3 en todos los endpoints HTTPS. HSTS con max-age 1 año + preload. Las copias de seguridad externas viajan y se almacenan cifradas en origen —contenido y nombres de fichero— con una clave que el proveedor de almacenamiento no posee.
2FA obligatoria para roles administrativos. Account lockout tras 5 intentos fallidos. Password policy Shannon-entropy. Bcrypt 12 rounds.
CSP estricta · X-Frame-Options DENY · X-Content-Type-Options nosniff · Referrer-Policy strict-origin-when-cross-origin · Permissions-Policy restrictiva.
Error tracking self-hosted (Glitchtip), con los informes de error filtrados antes de enviarse: correo, teléfono, DNI, IBAN, tarjeta y credenciales se tachan en origen. Monitorización pública en status.raxar.es (Uptime Kuma). Runbook DR probado · backups offsite diarios con restore testado.
DPA firmable disponible bajo solicitud. Endpoint right-to-erasure. En los sistemas que operamos, los datos personales se redactan antes de enviarse a LLMs de terceros; el chat público de esta web todavía no lleva ese filtro y lo avisamos ahí mismo. La analítica de producto (PostHog · servidores en la UE) hoy no está activa en esta web. La medición de audiencia (Google Analytics) es opt-in y se detalla en la política de cookies.
Somos transparentes: todavía no tenemos certificaciones formales externas. Las hemos planificado en función de la tracción comercial real, no como argumento de marketing vacío.
GDPR ready
DPA template + export + erasure endpoints
SOC 2 Type I
Es uno de nuestros objetivos; todavía no hay auditoría contratada
Pen-test externo
Auditoría anual con firma especializada
Si has detectado una vulnerabilidad, un comportamiento inusual o cualquier problema de seguridad en nuestros sistemas, nos gustaría escucharte. Acusamos recibo en un máximo de 3 días laborables.
Contact: security@raxar.es
Acknowledgments: /seguridad#hall-of-fame
Preferred-Languages: es, en
Policy: /.well-known/security.txt
No perseguiremos legalmente a investigadores de seguridad que actúen de buena fe dentro de un scope razonable (no exfiltración de datos · no interrupción de servicio · notificación privada antes de disclosure público).
Reconocimiento público a investigadores que han reportado vulnerabilidades responsables. Actualmente en blanco · estamos en fase dogfounding interna y nos sentimos orgullosos de ese espacio vacío porque significa que aún no hemos necesitado llenarlo.
Si necesitas DPA personalizado, despliegue en tu entorno cloud, auditoría de infraestructura aislada, integración con tu SSO corporativo o SLA específico, podemos diseñar un setup enterprise a medida.
Hablar con el equipo de seguridad →