Seguridad

Cómo Jamdesk protege tu documentación y los datos de tu cuenta.

Seguridad de la Infraestructura

Alojamiento

Jamdesk opera en proveedores cloud con certificación SOC 2. Los builds, los datos de la aplicación y la documentación compilada residen en servicios administrados y reforzados de esos proveedores, y el tráfico se sirve a través de un CDN global con protección DDoS integrada.

Cifrado

Estado de los datos	Protección
En tránsito	TLS 1.3 entre tú, nuestro edge y nuestros orígenes
En reposo	AES-256 para todo lo que persistimos, incluidos registros de base de datos, almacenamiento de objetos y logs
Copias de seguridad	Cifradas con las mismas claves y replicadas en múltiples regiones

Controles de Acceso

Inicio de sesión

Puedes iniciar sesión en el dashboard con correo electrónico y contraseña, o mediante inicio de sesión único a través de Google o GitHub. Las contraseñas nunca se almacenan en texto plano; nuestro proveedor de autenticación conserva únicamente hashes unidireccionales.

Si inicias sesión con Google o GitHub, cualquier MFA que tengas configurado en esa cuenta (TOTP, llaves de seguridad, passkeys) se aplica también a tu inicio de sesión en Jamdesk. Para mayor protección, recomendamos activar MFA en tu cuenta de Google o GitHub y utilizar SSO.

Acceso del Equipo

El acceso basado en roles (Owner, Admin, Member) se aplica tanto en las reglas de seguridad de nuestra base de datos como en cada llamada al backend. Las sesiones expiran automáticamente tras períodos de inactividad, y los cambios en facturación, miembros, dominios personalizados o API keys se registran en un log de auditoría por proyecto.

Integración con GitHub

Jamdesk se conecta a tus repositorios mediante una GitHub App con los permisos mínimos necesarios:

Acceso de solo lectura al contenido del repositorio
Entrega de Webhook para disparadores de build
Sin acceso de escritura a tu código

Nunca hacemos push, creamos ramas ni modificamos tu repositorio. Puedes revocar el acceso de Jamdesk en cualquier momento desde la configuración de Applications de GitHub.

Tokens y Secretos

Cada secreto que nos confías se cifra en reposo. Esto incluye:

Conexiones de la GitHub App, donde conservamos únicamente tu ID de instalación numérico. Los tokens de instalación de corta duración (válidos por una hora) se generan bajo demanda y nunca se persisten.
Tokens OAuth de GitHub utilizados durante el flujo de repositorio inicial, que se intercambian una sola vez, se usan para clonar la plantilla y luego se descartan.
Credenciales de integraciones de terceros, como URLs de incoming-webhook de Slack, tokens de verificación de dominios personalizados y API keys de analytics.

El dashboard nunca devuelve estos valores al navegador una vez guardados; solo el pipeline de build del lado del servidor puede leerlos.

Las API keys programáticas se almacenan como hashes unidireccionales. El texto en claro se muestra exactamente una vez en el momento de su creación. Si lo pierdes, rota la clave.

Gestión de Datos

Qué Almacenamos

Tu configuración docs.json y cualquier asset de branding que hayas subido
Documentación compilada (HTML, CSS, JS)
Logs de build, conservados durante 30 días
Eventos de analytics anonimizados (páginas vistas, país, familia de dispositivo)
Secretos cifrados para cualquier integración de terceros que hayas configurado

Qué No Almacenamos

Tu código fuente. Clonamos el repositorio en el momento del build y descartamos el árbol de trabajo cuando el contenedor de build se destruye.
Credenciales de GitHub de larga duración. Consulta Tokens y Secretos más arriba.
Contraseñas de usuarios en ninguna forma reversible.
Números de tarjetas de pago. Stripe gestiona todos los datos de tarjetas; nosotros conservamos únicamente el ID de cliente y los metadatos de suscripción.

Acceso Interno

El acceso a datos de producción está limitado a un pequeño número de empleados que lo necesitan para operar el servicio o atender solicitudes de soporte. El acceso queda registrado.

Aislamiento de Builds

Cada build de documentación se ejecuta en un contenedor dedicado:

Sin acceso a los datos de otros clientes
Entorno nuevo para cada build, con secretos inyectados en el momento justo
El contenedor se destruye una vez que el build finaliza o falla

Cumplimiento

Jamdesk cumple con los requisitos del GDPR:

Acuerdo de Procesamiento de Datos disponible bajo solicitud en privacy@jamdesk.com
Lista pública de subprocesadores en jamdesk.com/subprocessors
Derecho a la eliminación atendido en un plazo de 30 días
Portabilidad de datos admitida mediante exportación

Privacidad

Nuestros analytics integrados:

No utilizan cookies
No rastrean personas individuales
Respetan las cabeceras Do Not Track

Consulta nuestra Política de Privacidad para más detalles.

Respuesta a Incidentes

Si un incidente de seguridad afecta a tu cuenta o datos, tomamos tres medidas:

Investigamos y contenemos el problema.
Notificamos a los clientes afectados en un plazo de 72 horas, en línea con nuestras obligaciones GDPR.
Proporcionamos un informe post-incidente por escrito una vez confirmada la causa.

Reporte de Vulnerabilidades

¿Has encontrado un problema de seguridad? Repórtalo de forma responsable:

Envía un correo a security@jamdesk.com
Incluye una descripción, los pasos para reproducirlo y una evaluación del impacto
Responderemos en un plazo de 48 horas

Actualmente no contamos con un programa de bug bounty remunerado, pero nos complace reconocer a los investigadores que reportan de buena fe.

¿Preguntas?

Contactar con Soporte

Para consultas relacionadas con la seguridad