Seguridad y datos

Acceso a tu cuenta

Tu clave nunca se guarda ni se muestra en texto plano: se almacena con un algoritmo de hash diseñado específicamente para resistir el cómputo masivo (Argon2id), no una función genérica.

Hay un límite de intentos fallidos de inicio de sesión, tanto por cuenta como por origen de la conexión. Al superarlo, los intentos siguientes se rechazan por un período antes de volver a habilitarse.

El sistema responde en el mismo tiempo exista o no la cuenta con ese correo: nada en la respuesta permite distinguir "clave incorrecta" de "esa cuenta no existe".

Obra360 admite un segundo factor de verificación: un código temporal que se pide además de la clave. Cada persona lo activa por su cuenta en Mi cuenta, sin pedírselo a nadie, y desde ahí también lo apaga confirmando su clave actual: una sesión abierta no basta para quitarlo.

Si alguien pierde el teléfono con el que generaba esos códigos, la administración de su propia empresa puede devolver la cuenta a solo clave, y al hacerlo se descarta también el secreto del teléfono perdido: no queda una credencial viva de un dispositivo que ya no se controla. Esa acción queda registrada con nombre propio en la auditoría, distinto del que deja quien apaga su propio segundo factor.

Esa ayuda tiene un límite deliberado: nadie puede devolver a solo clave una cuenta que tenga atribuciones que él mismo no tiene. Sin ese límite, quien administra usuarios podría apagarle el segundo factor a alguien con más atribuciones, pedir una clave nueva para esa cuenta y entrar en su nombre. Como consecuencia, la cuenta con todas las atribuciones no tiene a nadie por encima que pueda ayudarla: si esa persona pierde su teléfono, la recuperación se hace desde la consola del servidor, por alguien que ya tiene acceso al servidor y a la base de datos. No existe ninguna página, ni pública ni privada, que haga eso: por internet ese procedimiento no se puede alcanzar de ninguna forma. Y también queda registrado, identificado como hecho por consola.

Tu sesión

La sesión viaja en una cookie que JavaScript no puede leer, que el navegador solo envía por conexión cifrada, y que caduca sola tanto por inactividad como al cabo de un tiempo máximo desde que iniciaste sesión, sin importar cuánto la uses.

Toda acción que cambia datos —no solo el inicio de sesión— exige un token de seguridad propio de tu sesión, para que un sitio ajeno no pueda operar en tu nombre sin que lo notes.

Cifrado y navegador

Todo el tráfico viaja cifrado (HTTPS); cualquier intento de acceder sin cifrar se redirige automáticamente. El navegador recibe instrucciones explícitas para no ejecutar código ni cargar contenido que no venga de este mismo sitio, y para no permitir que Obra360 se incruste dentro de otra página.

Evidencia de obra

Las fotos de evidencia que se suben a un hito quedan asociadas a su fecha, hora y a quién las subió, y a una huella propia del archivo: reemplazar una foto sin dejar rastro no es posible por diseño, no solo por norma interna.

Auditoría

Toda acción relevante —quién la hizo, cuándo y sobre qué— queda registrada. Ese registro se escribe únicamente desde el sistema: no existe una pantalla para editarlo ni borrarlo.

Separación entre empresas

Cada empresa ve únicamente sus propios proyectos, usuarios y datos. Esa separación se aplica en cada consulta a partir de la sesión de quien pregunta, nunca de un valor que envíe el navegador.

Reportar un problema de seguridad

Si encuentras una falla de seguridad en Obra360 —o algo que parezca serlo— escríbenos a contacto@aicons.pro. Cuenta qué viste y cómo llegaste ahí; no hace falta que sea un informe formal ni que estés seguro. Un reporte de buena fe nunca es motivo de reclamo contra quien lo hace.