Seguridad
Desde el primer día, LPIC.cc trata la seguridad y la privacidad como principios de diseño fundamentales, no como un parche posterior. A continuación un resumen de las medidas que mantenemos operando en producción de forma continua.
Medidas de seguridad principales
HTTPS en todo el sitio
Cada conexión se fuerza a HTTPS (TLS 1.2+), con HSTS de larga duración para que el navegador rechace cualquier fallback en texto plano. El tráfico está cifrado de extremo a extremo y no puede ser leído ni alterado por un atacante en el camino.
Hash de contraseñas con bcrypt
Las contraseñas de compartir que define el usuario se almacenan como hash unidireccional bcrypt, estándar del sector; ni siquiera nuestros servidores pueden revertirlas. Nunca existen contraseñas en texto plano en ninguno de nuestros sistemas.
Expiración automática de archivos
Los archivos subidos se conservan 30 días desde la última visualización. Transcurrido ese plazo, el enlace de compartir se invalida de inmediato y el archivo queda en cola de eliminación: sin limpieza manual, y nadie puede acceder a archivos caducados.
URLs de subida presigned de corta vida
Durante la subida, el servidor emite una URL presigned de corta duración para que el navegador envíe el archivo directamente al almacenamiento de objetos en la nube. La URL caduca rápidamente y no se puede reutilizar, bloqueando subidas no autorizadas.
Content Security Policy estricta
La política predeterminada bloquea todos los recursos externos y solo permite los orígenes mínimos necesarios. Junto con las cabeceras X-Frame-Options y Referrer-Policy, reduce la superficie de ataque frente a XSS, clickjacking y fugas de referrer.
Rate limiting multinivel
Los endpoints sensibles — inicio de sesión, subida, verificación de contraseña — están protegidos con rate limiting que aplica un enfriamiento inmediato al detectar abusos. Bloquea fuerza bruta y automatización sin afectar al tráfico legítimo.
Defensa anti-bot sin fricción con Turnstile
Los formularios críticos están protegidos por Cloudflare Turnstile, que utiliza señales de dispositivo y comportamiento en segundo plano para distinguir humanos de bots — sin puzzles de imágenes, sin fricciones para el usuario.
Registro de IP enmascarado
Las direcciones IP completas nunca se persisten. Antes de escribir en los registros de analítica o seguridad, la IP se enmascara (por ejemplo 1.2.3.***); la IP cruda solo permanece en memoria el tiempo imprescindible para la decisión de defensa en curso y se descarta después, limitando el daño ante una posible fuga de logs.
Medidas adicionales
| Medida | Descripción |
|---|---|
| Consultas parametrizadas | Todas las consultas a la base de datos utilizan binding parametrizado, eliminando de raíz la clase de ataque SQL Injection. |
| Validación de entradas | Los endpoints de la API imponen validación por schema (required, min, max, email, etc.). Las entradas malformadas se rechazan antes de llegar a la lógica de negocio. |
| Protección CSRF | Todas las peticiones que modifican estado requieren un CSRF Token independiente, con Cookies marcadas como HttpOnly + Secure + SameSite=Strict, bloqueando la falsificación entre sitios desde el origen. |
| Política CORS estricta | Solo el dominio oficial puede llamar a la API; cualquier llamada cross-origin no autorizada es rechazada. |
| Mitigación DDoS con Cloudflare | Los nodos edge detectan y mitigan tráfico anómalo de forma automática antes de que alcance los servidores de origen. |
| Registro enmascarado de campos sensibles | El framework de logging enmascara por defecto IP, Tokens y contraseñas — incluso si los logs llegaran a filtrarse, los valores sensibles no se irían con ellos. |
Divulgación responsable
Si crees haber encontrado una vulnerabilidad de seguridad en LPIC.cc, por favor repórtala de forma privada a [email protected]. A cambio nos comprometemos a:
- Acusar recibo de tu reporte en un plazo de 48 horas.
- No emprender acciones legales contra investigadores de seguridad de buena fe.
- Mencionarte públicamente en esta página tras desplegar el parche, si así lo deseas.
Para no afectar a otros usuarios, evita realizar escaneos automatizados o pruebas de carga contra el entorno de producción.
Última actualización: 21 de abril de 2026