Confianza por defecto
Cómo guardamos lo tuyo. Sin teatro.
Una página técnica con lo que importa antes de darnos acceso a tu sitio: qué viaja por el cable, dónde se guarda, quién lo toca y qué pasa cuando algo va mal.
Qué viaja del plugin a Securepress.
El plugin WordPress es la única vía por la que llega información de tu sitio. Aquí va la lista exacta de lo que reporta — y lo que deliberadamente nunca toca.
- Versión de WordPress, PHP y MySQL/MariaDB.
- Lista de plugins y temas instalados con su versión.
- Estado del core (debug, https, multisite, idioma).
- Eventos del propio plugin: éxito/fallo de backups, comandos ejecutados, alertas de seguridad detectadas.
- Heartbeat agregado de visitas: número, país, navegador, dispositivo. Sin cookies.
- Contenido de posts, páginas, productos o medios.
- Datos personales de tus usuarios (emails, contraseñas, direcciones).
- Direcciones IP de tus visitantes — el heartbeat las hashea diariamente y rota la sal.
- Contenido de la base de datos fuera del estado técnico.
- Archivos del sitio. Los backups se hacen en tu hosting y se cifran antes de subir.
El heartbeat sale cada 5 minutos (plan Pro), 15 minutos (Starter) o 1 hora (Free). El payload va comprimido y firmado con un token único por sitio que tú generas y revocas en cualquier momento.
En tránsito y en reposo.
Ningún dato tuyo sale ni descansa en texto plano.
En tránsito
TLS 1.2 mínimo, con TLS 1.3 preferido. Certificados Let’s Encrypt renovados cada 60 días. HSTS preload con max-age=2 años. HTTP redirige a HTTPS sin excepciones.
En reposo
Las contraseñas se guardan con bcrypt — nunca en claro. Los discos del servidor van cifrados a nivel de volumen por el proveedor de hosting. Los backups que subimos a almacenamiento S3-compatible llevan cifrado server-side por el bucket. Los tokens del plugin viajan hasheados en la BD.
Claves y tokens
Tokens del plugin: 64 caracteres, generados con CSPRNG. Hashes en BD, no el plain. Tokens Sanctum del panel: 80 caracteres, revocables uno a uno desde tu perfil.
Push y notificaciones
VAPID propio para Web Push (sin SDK de terceros). El payload se cifra con la clave pública del navegador antes de salir hacia FCM/APNS/Mozilla.
Quién entra a tu sitio, cuándo, y por qué.
Cero acceso por defecto. Cero pretexto. Mínimo privilegio.
Cuándo entramos
Solo cuando tú nos pides una intervención que consume horas humanas (limpieza tras hackeo, migración, optimización). El acceso se establece tras tu solicitud explícita.
Con qué autorización
El acceso es vía SSO temporal desde el panel: un enlace firmado HMAC con vida de 60 segundos y un solo uso. No almacenamos contraseñas de wp-admin. Cada apertura queda registrada en tu timeline del sitio.
Qué queda registrado
Cada acceso queda en el timeline del sitio (visible para ti) con quién, cuándo, qué hizo y cuánto tiempo. También en logs internos que no se purgan.
Mínimo privilegio
El equipo tiene credenciales por sitio (no una llave maestra). Si un técnico se va, esas credenciales se revocan en cuanto se confirma la baja. Revisamos los accesos de forma periódica y desactivamos los que ya no se justifican.
Si nunca pides intervención humana, el equipo no tiene motivo para entrar a tu sitio y no entra. El plugin envía datos técnicos al panel; el panel los muestra; tú decides cuándo pedir ayuda.
UE. Sin excepciones.
Cumplir RGPD empieza por no salir del bloque.
Plataforma principal
Datacenter en la UEServidor dedicado en proveedor europeo con certificaciones de seguridad reconocidas. Sin replicación fuera del Espacio Económico Europeo.
Backups de clientes
UE — almacenamiento compatible S3Espacio dedicado por usuario con cifrado en reposo, vida útil según tu plan (14 d Starter / 60 d Pro). Sin réplica fuera de la UE.
CDN del panel
Edge UE-prioritarioEstáticos cacheados en POPs europeos. Cabecera vary correcta para no servir cache cruzada entre usuarios.
Email transaccional
Proveedor con DPA UEServicio de envío con servidores en la UE y contrato de encargado del tratamiento firmado. Sin tracking pixel. Sin compartir tu email con terceros.
Cuánto guardamos cada cosa.
| Tipo de dato | Plazo | Tras cancelación |
|---|---|---|
| Datos de cuenta (nombre, email) | Mientras dura el contrato | 30 d. grace + 30 d. anonimizado, luego borrado |
| Heartbeats y estado técnico | Hasta 18 meses (auto-purga) | Borrado con la cuenta |
| Backups de tus sitios | 14 d (Starter) / 60 d (Pro) | Borrado inmediato |
| Eventos de analítica | 25 meses agregados | Borrado inmediato |
| Facturas e historial fiscal | 6 años (obligación legal) | Mantenido por ley, anonimizado |
| Logs de acceso del equipo | Según obligaciones legales | Conservados conforme a ley |
Puedes exportar y borrar tus datos en cualquier momento desde el panel. La eliminación es real, no un soft-delete oculto: las filas se borran y los blobs en S3 se purgan.
Si encuentras un fallo, cuéntanoslo.
No te demandamos. Te damos las gracias.
Si descubres una vulnerabilidad en Securepress (panel, API, plugin), avísanos antes de hacerla pública. Te respondemos lo antes posible, te decimos qué vamos a hacer y cuándo, y reconocemos públicamente tu hallazgo si lo deseas.
Email de contacto
seguridad@securepress.es
Atendido por el equipo técnico
security.txt
securepress.es/.well-known/security.txt
Política RFC 9116 publicada
Mejor esfuerzo: triage en 48 horas laborables. El tiempo de parcheo depende de la severidad, la complejidad técnica del fallo y, cuando aplique, la disponibilidad de un fix upstream. Practicamos divulgación coordinada — publicamos el detalle solo cuando hay un parche o mitigación disponible.
Qué pasa si algo va mal.
Un proceso simple. Documentado, no improvisado.
- 01
Detección
Monitorización automática del panel, la API y el colector de heartbeats. Cualquier persona del equipo puede abrir un incidente al detectar anomalías.
- 02
Triage
Determinamos alcance, criticidad y si afecta a datos de clientes. Si afecta a clientes concretos, los contactamos directamente — sin esperar a tener todas las respuestas.
- 03
Comunicación
Si hay impacto en disponibilidad o datos del cliente, enviamos email a los afectados con lo que sabemos y los pasos a seguir. La transparencia importa más que la prisa: prefiero decir 'no lo sé aún' que inventar.
- 04
Resolución y post-mortem
Una vez cerrado, redactamos un post-mortem interno con timeline y aprendizajes. Para incidentes mayores con impacto a clientes, lo compartimos en el email de cierre del incidente.
¿Más preguntas?
Si algo no cuadra, pregúntanos antes.
Preferimos perder un cliente en la firma del contrato que ganarlo con malentendidos.