# Confianza y seguridad

> Dónde funciona OpenWAF, cómo protege tu configuración, los textos legales (condiciones, encargo, subencargados) y cómo informar de una vulnerabilidad.

## Dónde operamos

- Nodos del borde en **Alemania y España**, en la UE.
- Servidores DNS y datos de clientes en **Alemania**. Las copias de seguridad diarias van a un almacenamiento separado
  en la UE.
- Los eventos de seguridad se borran a los 30 días.

La lista de empresas que tratan datos personales para OpenWAF, con su ubicación, está en la página de
[Subencargados](https://openwaf.dev/es/legal/subencargados/).

## Cómo se protege el servicio

- **Configuración firmada.** Los nodos del borde solo aplican documentos de configuración firmados con Ed25519 y
  rechazan lo que no se verifica. Si no pueden contactar con el plano de control, siguen sirviendo la última
  configuración válida.
- **Control de cambios.** Cada cambio queda versionado, lleva un motivo y se audita. Consulta
  [Control de cambios](https://developers.openwaf.dev/es/change-control/).
- **Entrada sin contraseñas.** Códigos por correo o Google/GitHub; las sesiones caducan. Consulta
  [Crear una cuenta](https://developers.openwaf.dev/es/fundamentals/create-account/).
- **Tokens.** Los tokens de API solo se guardan como hash, con un rol, un alcance y una caducidad de 365 días como
  máximo. Consulta [Tokens de API](https://developers.openwaf.dev/es/fundamentals/api-tokens/).
- **TLS en todas partes.** Se prefiere un intercambio de claves híbrido poscuántico hacia los visitantes y hacia los
  orígenes; los dominios nuevos verifican el certificado del origen (Full strict). Consulta [SSL/TLS](https://developers.openwaf.dev/es/ssl/).
- **Primario DNS oculto.** Solo los servidores secundarios públicos responden a las consultas DNS.

La lista completa y actual de controles y el estado de nuestro programa de cumplimiento (preparación para SOC 2 y un
SGSI alineado con ISO/IEC 27001) están en la página de [Seguridad](https://openwaf.dev/es/seguridad/). El acceso
anticipado aún no tiene SLA, ni informe SOC 2, ni certificado ISO/IEC 27001.

## Textos legales

| Documento | Enlace |
|---|---|
| Condiciones del servicio | [openwaf.dev/es/legal/condiciones](https://openwaf.dev/es/legal/condiciones/) |
| Política de uso aceptable | [openwaf.dev/es/legal/uso-aceptable](https://openwaf.dev/es/legal/uso-aceptable/) |
| Política de privacidad | [openwaf.dev/es/legal/privacidad](https://openwaf.dev/es/legal/privacidad/) |
| Encargo de tratamiento | [openwaf.dev/es/legal/encargo-de-tratamiento](https://openwaf.dev/es/legal/encargo-de-tratamiento/) ([PDF](https://openwaf.dev/legal/openwaf-dpa-es.pdf)) |
| Subencargados | [openwaf.dev/es/legal/subencargados](https://openwaf.dev/es/legal/subencargados/) |
| Cookies | [openwaf.dev/es/legal/cookies](https://openwaf.dev/es/legal/cookies/) |
| Aviso legal | [openwaf.dev/es/legal/aviso-legal](https://openwaf.dev/es/legal/aviso-legal/) |

Aceptas las condiciones, la política de uso aceptable y el encargo de tratamiento al crear tu organización. OpenWAF
trata el tráfico de tus clientes por cuenta tuya, como encargado del tratamiento según ese contrato.

## Informar de una vulnerabilidad

Escribe a [security@openwaf.dev](mailto:security@openwaf.dev), en español o en inglés. El mismo contacto aparece en
[security.txt](https://openwaf.dev/.well-known/security.txt). Incluye una descripción y su impacto, los pasos para
reproducirla con los nombres de host o URL afectados, y cómo podemos contactar contigo. Lee antes las
[pautas de divulgación](https://openwaf.dev/es/seguridad/#disclosure): prueba solo lo que es tuyo o lo que tienes
permiso para probar, y nada de denegaciones de servicio ni escaneos intensivos.

## Otros contactos

| Tema | Contacto |
|---|---|
| Soporte, ayuda con la cuenta, privacidad y dudas sobre el encargo de tratamiento | [support@openwaf.dev](mailto:support@openwaf.dev) |
| Phishing, malware u otros abusos en un sitio detrás de OpenWAF | [abuse@openwaf.dev](mailto:abuse@openwaf.dev) |
| Vulnerabilidades y revisiones de seguridad | [security@openwaf.dev](mailto:security@openwaf.dev) |

Los correos automáticos, como los códigos de entrada, salen de `noreply@openwaf.dev`, que no recibe respuestas.