Seguridad y datos

Acceso a tu cuenta

Tu clave nunca se guarda ni se muestra en texto plano: se almacena con un algoritmo de hash diseñado específicamente para resistir el cómputo masivo (Argon2id), no una función genérica.

Hay un límite de intentos fallidos de inicio de sesión, tanto por cuenta como por origen de la conexión. Al superarlo, los intentos siguientes se rechazan por un período antes de volver a habilitarse.

El sistema responde en el mismo tiempo exista o no la cuenta con ese correo: nada en la respuesta permite distinguir "clave incorrecta" de "esa cuenta no existe".

Obra360 admite un segundo factor de verificación: un código temporal que se pide además de la clave. La pantalla para que cada usuario lo active por su cuenta todavía no existe; por ahora se habilita cuenta por cuenta desde la administración del sistema, a pedido.

Tu sesión

La sesión viaja en una cookie que JavaScript no puede leer, que el navegador solo envía por conexión cifrada, y que caduca sola tanto por inactividad como al cabo de un tiempo máximo desde que iniciaste sesión, sin importar cuánto la uses.

Toda acción que cambia datos —no solo el inicio de sesión— exige un token de seguridad propio de tu sesión, para que un sitio ajeno no pueda operar en tu nombre sin que lo notes.

Cifrado y navegador

Todo el tráfico viaja cifrado (HTTPS); cualquier intento de acceder sin cifrar se redirige automáticamente. El navegador recibe instrucciones explícitas para no ejecutar código ni cargar contenido que no venga de este mismo sitio, y para no permitir que Obra360 se incruste dentro de otra página.

Evidencia de obra

Las fotos de evidencia que se suben a un hito quedan asociadas a su fecha, hora y a quién las subió, y a una huella propia del archivo: reemplazar una foto sin dejar rastro no es posible por diseño, no solo por norma interna.

Auditoría

Toda acción relevante —quién la hizo, cuándo y sobre qué— queda registrada. Ese registro se escribe únicamente desde el sistema: no existe una pantalla para editarlo ni borrarlo.

Separación entre empresas

Cada empresa ve únicamente sus propios proyectos, usuarios y datos. Esa separación se aplica en cada consulta a partir de la sesión de quien pregunta, nunca de un valor que envíe el navegador.