Seguridad y protección de datos

Última actualización: 9 de octubre de 2026

Medidas de seguridad

• Conexión cifrada. Todo el tráfico va por HTTPS con HSTS. Las cabeceras de seguridad (CSP, X-Frame-Options, nosniff, Referrer-Policy) bloquean la inyección de scripts, el clickjacking y las fugas de datos.
• Contraseñas. Se guardan con hash scrypt y sal: nadie, ni siquiera el administrador, puede verlas. Mínimo 10 caracteres con variedad, sin contraseñas comunes ni que contengan tu email o tu nombre, y se rechazan las que aparecen en filtraciones públicas (Have I Been Pwned, sin enviar nunca la contraseña). Al cambiarla o restablecerla se cierran las demás sesiones.
• Verificación en dos pasos. Puedes proteger tu cuenta con una app de autenticación (códigos de 6 dígitos) y códigos de respaldo. Aunque alguien conozca tu contraseña, no podrá entrar sin tu móvil.
• Bloqueo por intentos fallidos. Tras 5 contraseñas incorrectas la cuenta se bloquea 15 minutos y te avisamos al momento por email y en el móvil.
• Sesiones protegidas. Cookies httpOnly, Secure y SameSite. Puedes ver tus sesiones abiertas (navegador, IP y fecha) y cerrarlas a distancia.
• Escudo contra ataques. Límite de peticiones por IP en toda la web, bloqueo automático de escáneres de vulnerabilidades (30 min a la IP reincidente), comprobación del origen de cada petición con sesión (anti-CSRF) y límites específicos en el acceso, el registro, la recuperación de contraseña, las subidas, los pagos y el asistente IA.
• Aislamiento entre cuentas. Cada página es un espacio independiente: todas las operaciones comprueban en el servidor que el contenido pertenece a la cuenta que lo modifica.
• Archivos seguros. Solo se aceptan imágenes (JPG, PNG, WEBP, GIF, AVIF) y vídeos (MP4, WEBM, MOV) comprobando su contenido real (firma del archivo), con tamaño y espacio máximo por cuenta. Los archivos se sirven aislados: nunca pueden ejecutar código.
• Enlaces seguros. Solo se permiten enlaces http(s), mailto y tel, así no se puede usar una página para ejecutar código (javascript:).
• Privacidad por diseño. Estadísticas sin cookies y sin guardar IP. Exportación y borrado de tus datos desde el panel.
• Pagos y secretos cifrados. No guardamos tarjetas: los pagos los procesan Stripe y PayPal. Las credenciales de PayPal de los negocios se guardan cifradas (AES-256-GCM) y nunca llegan al navegador.
• Copias cifradas y mantenimiento. Copia diaria cifrada (AES-256-GCM) de la base de datos con las 7 últimas, permisos de archivo restringidos, registro de actividad del sistema y limpieza automática de sesiones y tokens caducados.

Consejos para tu cuenta

• Usa una contraseña única que no uses en otras webs (mejor con un gestor de contraseñas).
• Revisa de vez en cuando tus sesiones abiertas en Cuenta y seguridad y cierra las que no reconozcas.
• Nunca te pediremos la contraseña por email, WhatsApp ni teléfono.
• No pegues claves API, contraseñas ni datos bancarios en tu página ni en el asistente IA.

Denunciar contenido o una vulnerabilidad

Si una página contiene phishing, una estafa, suplantación, contenido ilegal o vulnera tus derechos, escríbenos a creartedigital.fr indicando la dirección de la página y el motivo. Revisamos todas las denuncias y retiramos el contenido ilícito con rapidez.

Si encuentras un fallo de seguridad, avísanos por el mismo canal antes de hacerlo público. No emprenderemos acciones contra quien lo comunique de buena fe y te daremos las gracias públicamente si lo deseas.

Incidentes

Si se produjera una brecha de seguridad que afecte a tus datos, lo notificaremos a la autoridad de control en un máximo de 72 horas y te avisaremos sin demora, como exige el RGPD.