Seguridad: cómo protege OKStatus tus datos en la UE.
Dónde están tus datos, cómo se protegen, quién puede acceder a ellos y cómo informarnos de una vulnerabilidad. Hechos claros y actualizados: los mismos que damos en las revisiones de seguridad de empresas.
Contact: mailto:contact@clearcloud.fr Preferred-Languages: fr, en Canonical: https://okstatus.eu/.well-known/security.txt Policy: https://okstatus.eu/security#disclosure
Alojamiento y ubicación de los datos
La plataforma y la base de datos se ejecutan en Scaleway, en París. Las copias de seguridad, continuas y con recuperación a un momento dado, se guardan en OVHcloud, en Gravelines. Las sondas ejecutan tus comprobaciones: reciben la dirección de tu objetivo y, si el monitor las tiene, sus credenciales (basic auth, token), nunca los datos de tu cuenta; los resultados vuelven a la UE. Cada subencargado, sondas incluidas, figura con su ubicación exacta en una página fechada con feed de cambios.
Cifrado
TLS 1.2+ en todas partes (HSTS en cada host público). Los secretos de los clientes (credenciales de monitores, tokens de canales de alerta, claves API) se cifran en reposo con AES-256-GCM con una clave que no se guarda junto a los datos. Las copias de seguridad están cifradas.
Acceso e identidad
El inicio de sesión funciona con Keycloak: contraseña, inicio de sesión social o tu propio proveedor de identidad (SAML/OIDC, Enterprise). Doble factor TOTP para todas las cuentas, obligatorio en nuestra consola interna. Roles (propietario, administrador, miembro, lector) aplicados en el servidor.
Auditoría y trazabilidad
Cada creación, modificación y eliminación en tu organización queda registrada (quién, qué, cuándo, desde dónde) y está disponible para los clientes Enterprise en el panel y en exportación CSV. Las acciones del personal se registran por separado.
Copias de seguridad y continuidad
Copias de seguridad continuas de PostgreSQL con recuperación a un momento dado, procedimiento de restauración probado y documentado, página de estado pública alojada fuera de la infraestructura para que siga disponible aunque nosotros no lo estemos.
Cadena de suministro de software
Las imágenes de contenedor se reconstruyen a partir de bases fijadas, se analizan en busca de vulnerabilidades CRITICAL en la CI antes de poder publicarse y se vuelven a analizar a diario en el clúster. Las dependencias se auditan en cada build.
Divulgación responsable
¿Has encontrado algo? Escribe a la dirección de abajo con los pasos para reproducirlo. Acusamos recibo en 2 días hábiles, te mantenemos informado y te reconocemos el mérito si lo deseas. La investigación de buena fe que evite la destrucción de datos, las violaciones de privacidad y la interrupción del servicio no dará lugar a acciones legales.
Dentro del alcance: okstatus.eu, api.okstatus.eu, docs.okstatus.eu, las páginas de estado públicas y los agentes en Rust. Fuera del alcance: denegación de servicio, ingeniería social, servicios de terceros que no operamos.
Contacto legible por máquina: /.well-known/security.txt
Documentos
Lista de subencargados, DPA, anexo SLA, política de privacidad y la página de cumplimiento. El paquete de seguridad (cuestionarios CAIQ-Lite y SIG-Lite, políticas de seguridad, plan de respuesta a incidentes) se envía bajo petición, sea cual sea tu plan.