El token de tu bot permite leer los mensajes de tus usuarios y hablar en nombre de tu bot. Esta página describe exactamente cómo lo protegemos, y lo que aún no hemos construido.
El token de tu bot de Telegram es una credencial completa para tu bot, por lo que se sella con AES-256-GCM antes de tocar la base de datos o una copia de seguridad, solo se descifra para llamar a Telegram, nunca se registra y se muestra enmascarado en todo el producto.
HTTPS con TLS 1.2+ en cada conexión, reforzado con HSTS. Los tokens de bot y los secretos de doble factor se cifran en reposo con una clave que solo posee tu despliegue.
Contraseñas con hash scrypt, doble factor TOTP opcional con códigos de recuperación, cookies de sesión httpOnly con protección CSRF, límite de intentos en el inicio de sesión y el restablecimiento de contraseña, y bloqueo automático tras fallos repetidos.
Cinco roles de espacio de trabajo, de propietario a solo lectura, aplicados en el servidor en cada solicitud, no solo ocultos en la interfaz. El acceso del personal a un espacio de trabajo de cliente solo es posible mediante suplantación, que siempre queda registrada.
Los inicios de sesión, cambios de bot, publicaciones, eventos de facturación, cambios de equipo y suplantación del personal se escriben en un registro de auditoría de solo adición que puedes consultar en tu consola.
Copias de seguridad cifradas nocturnas de la base de datos con retención configurable y un procedimiento de restauración documentado y probado. Las conexiones de los bots se comprueban cada pocos minutos y se reconectan automáticamente si Telegram las interrumpe.
Operamos sobre OVH y Hetzner, proveedores de hosting auditados conforme a estándares reconocidos de seguridad y cumplimiento para centros de datos. Además, realizamos nuestras propias pruebas de seguridad a nivel de servidor y encargamos pruebas de penetración por terceros y verificación independiente de todo el sistema.
Muchos proveedores omiten esta sección. Preferimos que puedas planificar con esta información.
| Área | Control |
|---|---|
| Cifrado en tránsito | TLS 1.2+ en todas partes, HSTS activado |
| Secretos en reposo | AES-256-GCM para tokens de bot y secretos de 2FA |
| Contraseñas | scrypt (N=32768), verificación en tiempo constante |
| Sesiones | Tokens opacos de 256 bits, cookies httpOnly, almacenados con hash, expiración renovable de 30 días |
| Endurecimiento del navegador | Content-Security-Policy, X-Frame-Options, nosniff, política de referrer estricta |
| Prevención de abuso | Límite de tasa en autenticación, restablecimiento de contraseña y formularios públicos |
| Autorización | Comprobaciones de rol aplicadas en el servidor en cada solicitud |
| Registro de auditoría | Registro de solo adición de acciones de cuenta, bot, facturación y personal |
| Copias de seguridad | Volcados cifrados nocturnos, retención configurable, simulacro de restauración documentado |
| Dependencias | Versiones de dependencias fijadas, instaladas solo desde el registro público de npm |
| Infraestructura | Centros de datos de OVH y Hetzner, auditados de forma independiente |
| Pruebas de penetración | Pruebas de terceros contratadas, más verificación independiente continua |
Si crees haber encontrado una vulnerabilidad de seguridad en Meshwire, repórtala de forma privada para que podamos investigarla y responder antes de cualquier divulgación pública. Confirmamos los reportes en un plazo de 24 horas y buscamos resolver los problemas críticos en un plazo de 7 días. No emprendemos acciones legales contra investigadores de buena fe que sigan esta política.