Seguridad en LiveAPISec

Cómo protegemos la plataforma

• Cifrado en tránsito y en reposo. Todo el tráfico usa HTTPS con HSTS; las credenciales de API se cifran en el servidor con AES-256 y nunca se escriben en logs.
• Escaneos aislados. Las pruebas automatizadas se ejecutan desde nuestro escáner en un sandbox aislado con ritmo prudente y límites estrictos. Solo se contacta con los objetivos como parte de un escaneo autorizado.
• Privilegios mínimos y claves con alcance. La CLI usa Developer API keys con alcance; las claves de login caducan a los 30 días. Las claves se pueden revocar en cualquier momento desde Settings.
• Verificación de propiedad. Las pruebas avanzadas y destructivas requieren verificación de dominio (DNS TXT, CNAME, archivo HTTP) y consentimiento registrado.
• Cabeceras de seguridad. El sitio público envía HSTS, Content-Security-Policy, X-Content-Type-Options, Referrer-Policy y una Permissions-Policy restrictiva. Las trust pages públicas relajan frame-ancestors solo para que los clientes puedan incrustar su widget de certificado.
• Núcleo determinista. La detección es determinista y reproducible; la IA se usa para triaje y sondas opcionales del agente, nunca como única base de un hallazgo.

Política de divulgación responsable

Aceptamos informes sobre el sitio web, la API y la CLI de LiveAPISec. Por favor:

• Escribe a [email protected] con pasos para reproducir e impacto.
• Danos un tiempo razonable para corregir el problema antes de la divulgación pública.
• No accedas, modifiques ni exfiltres datos de otros clientes.
• No ejecutes pruebas de denegación de servicio, spam ni ingeniería social.
• Prueba solo cuentas y proyectos que poseas o estés autorizado a probar.

Esta política no autoriza probar APIs o infraestructura de terceros. Los escaneos contra objetivos de clientes deben pasar por el producto con consentimiento registrado.

Alcance y limitaciones

LiveAPISec realiza pruebas de seguridad automatizadas de caja negra dentro del alcance de la especificación y configuración de API que proporcionas. No es una auditoría manual completa y no garantiza la seguridad. Los certificados describen el estado en el momento del último escaneo y no son una certificación. Consulta el descargo de responsabilidad en cada certificado de confianza.