Hostra logoHostra
Confianza

Seguridad

Hostra protege las contraseñas con argon2id y un valor secreto adicional, usa cookies de sesión opacas, llaves de servidor verificadas con HMAC-SHA256, permisos por rol en cada ruta, límites de solicitudes, TLS, CORS estricto y una cadena de auditoría con verificación de integridad. Nunca guarda números de tarjeta: solo trabaja con tokens de Stripe, lo que reduce el alcance PCI.

Credenciales y sesiones

  • Contraseñas protegidas con argon2id y un valor secreto en el servidor; no se pueden revertir y nunca se registran.
  • Las sesiones usan una cookie opaca HttpOnly, Secure y SameSite=None, sin tokens en el almacenamiento del navegador.
  • Los clientes de servidor usan llaves de API (prefijo hstra_) verificadas con HMAC-SHA256; la llave completa se muestra una vez.
  • Acceso por rol: 12 permisos verificados en cada ruta; una llave solo llega a lo que sus permisos permiten.

Datos del tarjetahabiente

Hostra nunca recibe ni guarda un número de tarjeta. Stripe.js tokeniza la tarjeta en el navegador y a la API solo llega el token del método de pago, lo que reduce de forma importante el alcance PCI DSS. El CVV nunca se envía ni se guarda en Hostra.

Integridad y ejecución única

  • Una confirmación final atómica evita que una liquidación se confirme dos veces.
  • Los bloqueos exclusivos con tokens de protección evitan que dos procesos ejecuten la misma instrucción.
  • Una cola transaccional garantiza que los eventos no se pierdan ni se inventen.
  • Antes de cualquier reintento se confirma el estado con el proveedor.

Transporte y perímetro

  • TLS en todo; HSTS en el sitio web.
  • CORS solo para orígenes autorizados; los comodines se rechazan en solicitudes con credenciales.
  • Límite de solicitudes por usuario y por IP en inicio de sesión y operaciones de escritura.
  • Las notificaciones web se firman con HMAC-SHA256 y marca de tiempo; verifica la firma antes de procesar.

Reporte responsable

Reporta vulnerabilidades a security@hostracore.com. Incluye los pasos para reproducirla y danos un tiempo razonable para corregirla antes de hacerla pública.