Seguridad

Su correo y los datos de su negocio son delicados. Así protegemos su cuenta, su correo y sus datos.

Última actualización: 10 de noviembre de 2026

Su cuenta y su sesión

• Se entra con Google mediante OAuth 2.0 con PKCE: ALISTAIR nunca ve ni guarda su contraseña.
• La sesión vive en una cookie HttpOnly, Secure y SameSite, que el código de la página no puede leer. En la base de datos solo guardamos su huella (hash), no la sesión en sí.
• Todas las peticiones que cambian algo comprueban su origen para impedir ataques desde otras webs (CSRF).

Su correo y su agenda

• Permisos separados: el acceso a Gmail y Calendar se pide aparte y puede retirarlo cuando quiera en myaccount.google.com/permissions o borrando su cuenta.
• Tokens cifrados: los accesos de Google se guardan cifrados con AES-256-GCM y una clave que no está en la base de datos.
• Aprobación humana: enviar un correo o crear, mover o cancelar una cita genera una tarjeta. Nada se ejecuta hasta que usted la aprueba, y cada tarjeta solo puede ejecutarse una vez.
• Protección frente a engaños: ALISTAIR trata el contenido de correos, webs y documentos como datos, no como órdenes. Si un correo le pide «reenvía esto» o «ignora tus instrucciones», no lo hará y le avisará de que parece sospechoso.

Sus datos

• Los documentos se leen en su navegador; solo se guarda el texto, asociado a su conversación.
• Cada usuario solo puede acceder a sus propias conversaciones, documentos y tarjetas.
• La base de datos está en la Unión Europea (Fráncfort), con cifrado en reposo y copias de seguridad del proveedor.
• Puede descargar todos sus datos o borrar su cuenta desde Ajustes. Al borrarla, revocamos el acceso a Google.

Los datos de su negocio

• Sus gastos, facturas, declaraciones marcadas como presentadas y datos del negocio solo son visibles para usted.
• El IBAN se guarda cifrado con AES-256-GCM, con una clave que no está en la base de datos.
• Las proformas en PDF se generan al momento y no se guardan como archivo; solo se guardan los datos con los que se crean.
• Puede descargar sus libros y resúmenes en Excel en cualquier momento desde «Mi negocio», y borrar cualquier registro con un clic.

La aplicación

• Todo el tráfico va cifrado con HTTPS (TLS), con HSTS para que el navegador no use nunca una conexión insegura.
• Cabeceras de seguridad que impiden incrustar ALISTAIR en otras webs (anti-clickjacking) y limitan el acceso a la cámara y la ubicación.
• Validación estricta de todo lo que llega al servidor y límites de uso para evitar abusos.
• Las claves y secretos del servicio viven en el entorno seguro del proveedor de alojamiento, nunca en el código.

Lo que usted puede hacer

• Active la verificación en dos pasos en su cuenta de Google.
• Lea las tarjetas antes de aprobarlas: destinatario, asunto, fecha y hora.
• Cierre la sesión en ordenadores compartidos.
• Desconfíe de mensajes que digan venir de ALISTAIR pidiéndole contraseñas: nunca se las pediremos.

¿Ha encontrado un fallo de seguridad?

Escríbanos a alistair.help@gmail.com con los detalles para reproducirlo. Le responderemos lo antes posible. Le pedimos que no lo haga público hasta que esté corregido, que no acceda a datos de otras personas y que no interrumpa el servicio. Agradeceremos públicamente su ayuda si lo desea. También publicamos nuestro contacto en /.well-known/security.txt.