Resumen de seguridad

SportsMgnt no ha sido auditado para SOC 2, HIPAA ni PCI DSS y no tiene ninguna certificación ni atestación de ese tipo. Esta página describe los controles integrados en la demostración.

Conexiones

• Solo HTTPS, con un certificado de Let's Encrypt y HTTP Strict Transport Security.
• Una política de seguridad de contenido que no permite scripts en línea ni otros sitios web.

Cuentas e inicio de sesión

• Las contraseñas se guardan con hash Argon2id y se comparan con una lista de las 10 000 contraseñas más comunes.
• Tras 5 intentos fallidos, la cuenta y la dirección de red se pausan durante 15 minutos.
• Inicio de sesión en dos pasos opcional con una aplicación de autenticación (TOTP) y códigos de recuperación de un solo uso; obligatorio para la cuenta del propietario.
• Los formularios están protegidos contra la falsificación de solicitudes entre sitios.

Control de acceso

• Las funciones se asignan por lugar, área, región o distrito, y cada registro se comprueba frente al usuario conectado antes de mostrarlo.
• Las supervisoras de solo lectura no pueden cambiar nada, y los reembolsos necesitan tres personas distintas.

Protección de datos

• Las notas médicas, las alergias y los secretos del inicio en dos pasos se cifran en la base de datos (AES-256).
• Los documentos subidos se cifran en el disco (AES-256-GCM), se guardan fuera de la carpeta del sitio web y solo los descargan usuarios autorizados; cada consulta queda registrada.
• Sin números de tarjeta: el procesador de pagos de demostración solo usa medios de pago de ejemplo, así que no hay datos de tarjetas que proteger.
• Las direcciones de red que se usan para limitar solicitudes se guardan solo como hashes con sal.

Auditoría

• Cada inicio de sesión, cambio, aprobación, reembolso, exportación y consulta de documentos escribe una fila de auditoría. Cada fila incluye un hash de la anterior, de modo que «Verificar cadena» detecta una fila modificada.

API

• Los tokens se muestran una sola vez, se guardan solo como hashes, se limitan por permisos y un vencimiento de 90 días como máximo, y se pueden revocar. Las solicitudes tienen límites de frecuencia.

Correo

• La demostración no puede enviar correos al público: solo los avisos de solicitudes de presentación y las alertas del servidor pueden salir del servidor, y solo hacia WeldonPC.

Informar de un problema

Si encuentra un problema de seguridad, avísenos con el formulario de solicitud de presentación. Por favor no pruebe ataques contra la demostración en línea. Solicitar una presentación