Resumen de seguridad

Una descripción honesta de los controles de seguridad del sitio web y la aplicación ReelBase, y de cómo reportar una vulnerabilidad.

Nuestro enfoque

ReelBase está diseñado para que lo más valioso que usted tiene — su material original — nunca tenga que salir de su propio almacenamiento. Solo se envían a la nube vistas previas ligeras y metadatos. Además de ese diseño, aplicamos los controles que se describen abajo. No declaramos ninguna certificación de seguridad (por ejemplo, SOC 2 o ISO 27001). Un abogado debe revisar esta página para que ninguna afirmación se interprete como garantía.

Este sitio web (myreelbase.com)

• Cifrado en tránsito: HTTPS con certificados gestionados por el servidor web Caddy, y HTTP Strict Transport Security (HSTS) para que los navegadores siempre usen HTTPS.
• Política de seguridad de contenido (CSP): cada página se entrega con una política estricta que usa un valor aleatorio nuevo (nonce) en cada solicitud; las fuentes de terceros solo se permiten cuando el servicio opcional correspondiente está activado.
• Encabezados de seguridad: protección contra clickjacking, detección de tipo de contenido y acceso entre ventanas de distinto origen, una política estricta de referencia y una política de permisos que desactiva el acceso a cámara, micrófono, ubicación, pagos y USB.
• Manejo de datos de entrada: cada formulario se valida nuevamente en el servidor, sin importar las validaciones del navegador. Los formularios solo aceptan envíos del mismo origen.
• Prevención de abusos: límites de solicitudes en formularios y puntos de acceso, un campo trampa oculto (honeypot) y un tiempo mínimo de llenado para detener bots, y Cloudflare Turnstile de forma opcional.
• Datos mínimos: las direcciones IP nunca se guardan tal cual; solo un hash unidireccional con sal que se usa para limitar solicitudes y prevenir abusos. Consulte nuestro Aviso de privacidad.
• Secretos: las claves de API y credenciales están en variables de entorno del servidor, nunca en el repositorio de código.
• Acceso de administración: el área de administración del sitio está limitada a personal identificado con roles de privilegio mínimo (Propietario, Administrador, Ventas), contraseñas cifradas con Argon2 y sesiones que expiran a las 12 horas.

La aplicación ReelBase (app.myreelbase.com)

• Los originales se quedan en casa: el agente de ingesta solo sube vistas previas de 720p, fotogramas de portada, hojas de sprites y metadatos. ReelBase no tiene permiso para eliminar sus archivos originales.
• Cuentas solo por invitación: no hay registro público. Los administradores del espacio de trabajo invitan a los usuarios y asignan roles de administrador o miembro.
• Contraseñas y sesiones: las contraseñas se cifran con scrypt y una sal única; las sesiones usan tokens firmados en cookies httpOnly. Está disponible el inicio de sesión opcional con Google.
• Aislamiento de espacios de trabajo: cada espacio de trabajo (entidad) de un cliente está aislado; las solicitudes se limitan al espacio de trabajo activo del usuario que inició sesión.
• Claves de los agentes de ingesta: cada agente tiene su propia clave, que se muestra una sola vez y se guarda solo como hash; las claves pueden rotarse y la clave anterior deja de funcionar de inmediato.
• Enlaces de revisión para clientes: los enlaces de revisión usan tokens imposibles de adivinar y pueden protegerse con un código de acceso y una fecha de vencimiento opcionales. Los clientes no necesitan una cuenta.
• Acceso a medios: donde se usa el almacenamiento de objetos DigitalOcean Spaces, las vistas previas se entregan mediante URL firmadas que vencen en poco tiempo. Confirmar que Spaces está activado en producción antes de publicar esta declaración.
• IA opcional: la transcripción y el etiquetado envían a OpenAI y Anthropic solo audio derivado de las vistas previas, fotogramas fijos o texto, y solo cuando están activados. Consulte el Aviso de privacidad.
• Sincronización de eliminaciones: cuando se eliminan archivos de origen, ReelBase borra sus propias copias tras un periodo de gracia de 24 horas, omitiendo las unidades que estén desconectadas.

En qué seguimos trabajando

• Aún no se ha realizado una prueba de penetración ni una auditoría independiente.
• Falta documentar y confirmar el calendario de respaldos, el cifrado en reposo y los objetivos de recuperación ante desastres de la aplicación.
• Falta documentar un plan formal de respuesta a incidentes (ver las obligaciones de notificación de brechas en la revisión legal).

Cómo reportar una vulnerabilidad

Si cree que encontró una vulnerabilidad de seguridad en ReelBase o en este sitio web, escriba a nuestra página de contacto (sustituir por una dirección dedicada de seguridad, p. ej. security@myreelbase.com, cuando exista) con una descripción y los pasos para reproducirla. Le pedimos que:

• nos dé un tiempo razonable para corregir el problema antes de divulgarlo públicamente;
• evite acceder a datos de otras personas o modificarlos, degradar el servicio o usar ingeniería social;
• haga pruebas solo con cuentas que le pertenezcan o que tenga permiso de usar.

Acusaremos recibo de su reporte y lo mantendremos informado. Actualmente no tenemos un programa de recompensas pagadas. Un abogado debe confirmar la redacción de "puerto seguro" antes de comprometernos a no emprender acciones contra investigadores de buena fe.