Dónde operamos
- Nodos del borde en Alemania y España, en la UE.
- Servidores DNS y datos de clientes en Alemania. Las copias de seguridad diarias van a un almacenamiento separado en la UE.
- Los eventos de seguridad se borran a los 30 días.
La lista de empresas que tratan datos personales para OpenWAF, con su ubicación, está en la página de Subencargados (enlace externo).
Cómo se protege el servicio
- Configuración firmada. Los nodos del borde solo aplican documentos de configuración firmados con Ed25519 y rechazan lo que no se verifica. Si no pueden contactar con el plano de control, siguen sirviendo la última configuración válida.
- Control de cambios. Cada cambio queda versionado, lleva un motivo y se audita. Consulta Control de cambios.
- Entrada sin contraseñas. Códigos por correo o Google/GitHub; las sesiones caducan. Consulta Crear una cuenta.
- Tokens. Los tokens de API solo se guardan como hash, con un rol, un alcance y una caducidad de 365 días como máximo. Consulta Tokens de API.
- TLS en todas partes. Se prefiere un intercambio de claves híbrido poscuántico hacia los visitantes y hacia los orígenes; los dominios nuevos verifican el certificado del origen (Full strict). Consulta SSL/TLS.
- Primario DNS oculto. Solo los servidores secundarios públicos responden a las consultas DNS.
La lista completa y actual de controles y el estado de nuestro programa de cumplimiento (preparación para SOC 2 y un SGSI alineado con ISO/IEC 27001) están en la página de Seguridad (enlace externo). El acceso anticipado aún no tiene SLA, ni informe SOC 2, ni certificado ISO/IEC 27001.
Textos legales
| Documento | Enlace |
|---|---|
| Condiciones del servicio | openwaf.dev/es/legal/condiciones (enlace externo) |
| Política de uso aceptable | openwaf.dev/es/legal/uso-aceptable (enlace externo) |
| Política de privacidad | openwaf.dev/es/legal/privacidad (enlace externo) |
| Encargo de tratamiento | openwaf.dev/es/legal/encargo-de-tratamiento (enlace externo) (PDF (enlace externo)) |
| Subencargados | openwaf.dev/es/legal/subencargados (enlace externo) |
| Cookies | openwaf.dev/es/legal/cookies (enlace externo) |
| Aviso legal | openwaf.dev/es/legal/aviso-legal (enlace externo) |
Aceptas las condiciones, la política de uso aceptable y el encargo de tratamiento al crear tu organización. OpenWAF trata el tráfico de tus clientes por cuenta tuya, como encargado del tratamiento según ese contrato.
Informar de una vulnerabilidad
Escribe a [email protected], en español o en inglés. El mismo contacto aparece en security.txt (enlace externo). Incluye una descripción y su impacto, los pasos para reproducirla con los nombres de host o URL afectados, y cómo podemos contactar contigo. Lee antes las pautas de divulgación (enlace externo): prueba solo lo que es tuyo o lo que tienes permiso para probar, y nada de denegaciones de servicio ni escaneos intensivos.
Otros contactos
| Tema | Contacto |
|---|---|
| Soporte, ayuda con la cuenta, privacidad y dudas sobre el encargo de tratamiento | [email protected] |
| Phishing, malware u otros abusos en un sitio detrás de OpenWAF | [email protected] |
| Vulnerabilidades y revisiones de seguridad | [email protected] |
Los correos automáticos, como los códigos de entrada, salen de [email protected], que no recibe respuestas.