Seguridad y comunicación de vulnerabilidades
Cómo proteger cuentas y pases y comunicar una posible vulnerabilidad de CheckTau.
Qué protege CheckTau
CheckTau utiliza cuentas, permisos y comprobaciones del servidor para limitar el acceso a los registros. Protege tu cuenta y tus pases, y comunica cualquier sospecha de acceso no autorizado mediante el contacto de esta página.
Protege tu cuenta
Usa una contraseña exclusiva y mantén el dispositivo actualizado y bloqueado. No compartas cuentas o contraseñas temporales. En Perfil de la web o Ajustes de las aplicaciones móviles puedes cambiar la contraseña y cerrar todas las sesiones, incluida la actual. Ante sospecha de acceso indebido, avisa a tu organización. Cerrar una sesión no borra registros ni retira archivos o correos ya copiados.
Enlaces, códigos y QR
Obtener un pase requiere enlace y código. El servidor comprueba caducidad, intentos y consumo único. La verificación correcta puede consumir el enlace aunque no se muestre el pase. El QR es una credencial distinta, reutilizable para identificar al participante en actividades. No publiques enlaces, códigos, QR o capturas. Ante exposición, pide revisar la credencial: caducar el enlace no invalida por sí solo el QR.
Contraseñas y sesiones
El servidor utiliza hashes de contraseñas y códigos y resúmenes de credenciales de renovación. En Web, el navegador conserva un identificador opaco y los datos sensibles de sesión se cifran en el servidor. En producción la cookie es HttpOnly, Secure y limitada al host de la aplicación. Las respuestas privadas indican que no deben almacenarse en caché. No es cifrado de extremo a extremo: el servidor trata los registros para prestar el servicio.
Dispositivos móviles
iOS guarda las credenciales en el llavero, protegido para el dispositivo desbloqueado y sin sincronización por iCloud. Android las cifra con claves de Android Keystore y excluye ese almacenamiento de sus copias de aplicación. La cámara procesa los QR en el dispositivo; CheckTau no graba ni sube imágenes. La política de privacidad explica el diagnóstico del SDK Android. Estas medidas no protegen automáticamente capturas, archivos exportados, aplicaciones para compartir o correos.
Pases y enlaces de Wallet
Los enlaces de Apple y Google contienen autorizaciones temporales y son confidenciales. El servidor vuelve a comprobar el participante y su QR al emitir un pase. Las claves de firma permanecen en el servidor; el enlace de Google lleva datos al proveedor y no los anonimiza. El PNG o pase guardado puede copiarse. Es estático y no se borra de forma remota al caducar un enlace o sustituir el QR.
Comunicar una vulnerabilidad
Escribe a [email protected]. Describe función afectada, fecha y hora aproximadas, pasos mínimos e impacto posible. Incluye versión de la aplicación o navegador y capturas previamente censuradas si ayudan. No envíes contraseñas, códigos, tokens, enlaces de acceso completos, QR ni datos de terceros. Para enviar información sensible, pide primero un canal adecuado.
Detén las comprobaciones si aparecen datos ajenos. No extraigas datos, mantengas acceso, interrumpas el servicio ni pruebes sistemas de terceros. Este canal no concede autorización general de pruebas ni establece recompensas, inmunidad o plazos de respuesta garantizados. Los errores de asistencia, enlaces caducados o consultas de cuenta se tramitan con la organización o Soporte. Evita divulgar detalles que permitan explotar el fallo mientras se revisa.
Comunicar una vulnerabilidadOtras incidencias y emergencias
Para problemas de cuenta, pases o asistencia, contacta con tu organización o con Soporte. Si hay riesgo inmediato para una persona, utiliza los servicios de emergencia y contacta con la organización; no esperes una respuesta por correo.