Seguridad
Cómo está construido REAL AUTH y qué evita hacer a propósito
Un producto de seguridad debería ser legible. Esta página describe las decisiones que importan, incluidas las que cuestan comodidad.
Ningún dato biométrico, en ninguna parte
REAL AUTH nunca recibe huellas, plantillas de rostro o iris, ni material de Face ID o Windows Hello. La verificación biométrica ocurre dentro del sistema operativo y desbloquea una clave; el servidor ve una firma. No hay base de datos biométrica que vulnerar porque no existe.
Las claves privadas nunca salen del dispositivo
Las credenciales están ligadas al dispositivo y, donde el hardware lo permite, no son exportables y están protegidas por un elemento seguro. REAL AUTH almacena claves públicas y contadores de firma. No puede firmar en nombre de nadie, lo que es un límite deliberado a su propio poder.
Las aprobaciones se atan a valores, no a sesiones
Cada aprobación se liga a una codificación determinista de exactamente lo que se mostró. Cambiar un importe, un número de cuenta, un rol o un dominio produce una huella distinta, así que la aprobación anterior sencillamente no verifica. La repetición se detecta porque los desafíos son de un solo uso y quedan registrados en el servidor.
Las sesiones viven en el servidor y se revocan ya
La cookie lleva un token opaco; solo se guarda su huella. Las sesiones tienen caducidad por inactividad y una vida absoluta, rotan ante cualquier cambio de privilegios y se revocan de forma centralizada. «Cerrar sesión en todas partes» surte efecto en la siguiente petición, no al final de la sesión del atacante.
Las contraseñas se admiten, nunca se recomiendan
Las contraseñas existen para el arranque, la migración y una recuperación limitada. Se cifran con Argon2id, y una sesión solo con contraseña es explícitamente el nivel más débil: no puede autorizar una acción sensible ni eliminar una passkey. Una contraseña robada no debe bastar para arrancar el factor más fuerte de una cuenta.
El aislamiento entre clientes se aplica en la capa de consultas
Cada registro asociado a un cliente lleva su cliente, y el aislamiento se aplica donde se leen los datos, no en controladores donde un descuido expone una tabla. Existe una batería de pruebas dedicada cuyo único fin es intentar cruzar esa frontera.
Los secretos se muestran una vez y se guardan como huella
Los secretos de API se muestran al crearlos y nunca más; la base guarda un hash y un prefijo corto para reconocer una clave. Los valores que de verdad deben poder recuperarse se cifran con libsodium, con una clave fuera de la raíz web. Aquí no se inventa criptografía: las primitivas son estándar y las bibliotecas están mantenidas.
Lo que REAL AUTH no afirma
No es inviolable, no hace imposible el fraude, no detecta deepfakes y no demuestra que una cuenta pertenezca a una persona legalmente identificada salvo que se haya hecho y registrado una verificación de identidad. Reduce riesgos concretos y nombrados. Cualquier proveedor que diga lo contrario te está vendiendo algo.
¿Has encontrado un problema? La página de divulgación explica cómo comunicarlo y qué esperar. Los avisos son bienvenidos, incluidos los que contradigan esta página.
Lee la política de divulgación
Cómo comunicar una vulnerabilidad y cómo se tratará.