Saltar al contenido principal

Seguridad - Introducción

Floutic implementa un sistema de seguridad completo siguiendo las mejores prácticas de la industria.

Medidas de Seguridad Implementadas​

Autenticación​

  • ✅ Autenticación JWT segura con refresh tokens en HttpOnly cookies
  • ✅ Sistema de session_id único por ventana
  • ✅ Cookies con SameSite=Strict para máximo aislamiento
  • ✅ Validación de session_id en todas las peticiones
  • ✅ Sesiones concurrentes limitadas (máximo 10 por usuario)

Protección de Datos​

  • ✅ Protección CSRF robusta (Double Submit Cookie Pattern)
  • ✅ Rate limiting multi-nivel:
    • Global: 60 requests/minuto
    • Por usuario (login): 5 intentos máximo
    • Por IP (login): 20 intentos máximo
  • ✅ Input validation y protección XSS con DOMPurify
  • ✅ Verificación de email idempotente con sincronización segura del estado de sesión
  • ✅ Prevención de Inyección SQL (Uso estricto de bindparams y ORM)
  • ✅ Validación de Archivos por Contenido (Magic Numbers/MIME sniffing)
  • ✅ Ofuscación de Datos Sensibles en Logs (Scrubbing de passwords/tokens)
  • ✅ Security headers completos (HSTS, CSP, X-Frame-Options, etc.)

Infraestructura​

  • ✅ HTTPS en producción con HSTS
  • ✅ CORS configurado correctamente
  • ✅ Registro seguro de IP en flujos críticos (headers de proxy con fallback)
  • ✅ Validación de datos con Pydantic/Zod
  • ✅ RBAC (Role-Based Access Control) completo
  • ✅ Password security con bcrypt
  • ✅ Trusted hosts en producción

Documentación​

Tests de Seguridad​

Floutic incluye tests completos de seguridad:

  • Suite E2E de seguridad con Playwright
  • Tests de headers, CORS y rate limiting
  • Tests de sesiones concurrentes
  • Tests de protección CSRF
  • Tests de validación de entrada y XSS

Documentación Adicional​

Para más detalles, consulta: