Seguridad

Tus datos se almacenan en la Unión Europea. EXITO Media LLC, la empresa que gestiona el Servicio, es una empresa estadounidense; nuestra Política de Privacidad explica qué implica esto para tus datos.

Cómo se conectan los componentes

• Un servidor reforzado. La aplicación web, el servidor de correo (Stalwart, que gestionamos nosotros mismos), las bases de datos PostgreSQL y la caché se ejecutan en contenedores aislados en nuestro servidor. Solo se puede acceder a las bases de datos, la caché y la interfaz de administración del servidor de correo desde el interior del servidor, nunca desde internet.
• Contenido en el almacenamiento de objetos. Los cuerpos de los mensajes, los archivos adjuntos, los archivos de Exito Vault y los de Exito Transfer se almacenan en un almacenamiento de objetos separado del servidor. Los archivos de Exito Vault y Exito Transfer se suben y descargan directamente entre tu navegador y el almacenamiento (Wasabi o Cloudflare R2), mediante enlaces firmados de corta duración que solo funcionan para un archivo, por lo que el proveedor de almacenamiento también ve tu dirección IP.
• El correo se conecta directamente. Otros servidores de correo y las aplicaciones de correo que usan SMTP, IMAP o JMAP en mail.exitomail.com se conectan directamente a nuestro servidor y nunca pasan por Cloudflare. Enviamos el correo desde nuestras propias direcciones IP, sin recurrir a un servicio de retransmisión externo.
• La aplicación web detrás de Cloudflare. Nuestro sitio web y la aplicación web de exitomail.com (las pantallas de correo web, Exito Vault y Exito Transfer en tu navegador) se sirven a través de la red de Cloudflare, que los protege frente a ataques. Tu conexión cifrada termina en el perímetro de Cloudflare, que reenvía el tráfico a nuestro servidor; esto significa que el correo y los archivos que abres en la aplicación web pasan por Cloudflare mientras están en tránsito.

En tránsito

• Web. Todas las páginas y las API se sirven mediante HTTPS, con HTTP Strict Transport Security (HSTS) para que los navegadores nunca recurran a conexiones sin cifrar. Los certificados proceden de Let's Encrypt y se renuevan automáticamente.
• Aplicaciones de correo. IMAP (puerto 993) y el envío mediante SMTP (puertos 465 y 587) solo se ofrecen a través de TLS, por lo que tu contraseña y tus mensajes nunca se envían sin cifrar entre tu dispositivo y nuestros sistemas.
• Entre servidores. Cuando intercambiamos correo con otros proveedores, usamos STARTTLS siempre que la otra parte lo admita. Publicamos una política MTA-STS para que otros servidores sepan que deben exigir TLS cuando nos entregan correo y recibimos informes de TLS (TLS-RPT) para detectar problemas de entrega. Como es habitual en el correo electrónico, si el otro servidor no admite TLS ni publica una política que lo exija, un mensaje puede viajar sin cifrar entre ambos servidores.

En reposo

El contenido del correo, los archivos adjuntos, los archivos de Exito Vault y Exito Transfer, y las copias de seguridad se almacenan en un almacenamiento de objetos que nuestros proveedores cifran en reposo. Además, las copias de seguridad se cifran en nuestro propio servidor con una clave bajo nuestro control antes de subirlas.

Autenticación del correo

Cada mensaje que enviamos se firma con DKIM (con claves Ed25519 y RSA), y nuestro dominio publica registros SPF y DMARC para que los servidores receptores puedan comprobar que el correo procede realmente de nosotros. Cuando conectas un dominio personalizado, te proporcionamos los mismos registros para que los publiques y los comprobamos antes de activar tu dominio.

• Privilegios mínimos. Solo un número reducido de personas identificadas puede administrar nuestros sistemas, cada una con el acceso estrictamente necesario para su función. El acceso se revisa periódicamente y se retira de inmediato cuando alguien deja de trabajar con nosotros.
• Solo claves SSH. El acceso administrativo a nuestro servidor utiliza claves SSH. Los inicios de sesión con contraseña están desactivados.
• Autenticación multifactor. Usamos autenticación multifactor en las consolas de administración de nuestros proveedores de alojamiento, almacenamiento, DNS y pagos, y en nuestras propias cuentas de administración.
• Credenciales separadas. Cada componente del Servicio utiliza sus propias credenciales, únicamente con los permisos que necesita; por ejemplo, cada base de datos tiene su propia función.
• Registro de auditoría. Las acciones administrativas realizadas en nuestras herramientas, como suspender una cuenta, se registran en un registro de auditoría.

Cuándo puede nuestro personal acceder a tu contenido

No exploramos tu correo, tus archivos ni tus transferencias. Nuestro personal solo accede al contenido cuando es necesario:

• para ayudarte, cuando nos pides que revisemos algo concreto;
• para investigar un problema de seguridad o una denuncia de abuso; o
• para cumplir una obligación legal, tal como se describe en nuestra Política de Privacidad.

Este acceso se limita a lo necesario para realizar la tarea y queda registrado en el caso de soporte o de abuso correspondiente.

• Contraseñas. Las contraseñas deben tener al menos 10 caracteres. Solo las almacenamos como hashes unidireccionales con sal, nunca en texto sin cifrar, por lo que ni siquiera nosotros podemos verlas.
• Autenticación de dos factores. Puedes añadir un segundo paso al inicio de sesión con una aplicación de autenticación. Recomendamos encarecidamente activarla, especialmente para propietarios y administradores de organizaciones.
• Inicio de sesión con limitación de intentos. Los intentos de inicio de sesión están limitados para ralentizar la adivinación de contraseñas.
• Correo de recuperación. Recomendamos añadir y verificar un correo de recuperación. Los enlaces para restablecer la contraseña solo se envían a una dirección de recuperación verificada (nunca al buzón al que no puedes acceder), caducan a los 30 minutos y, al restablecer la contraseña, se cierran todas tus demás sesiones.
• Sesiones. Las cookies de sesión tienen los atributos HttpOnly y Secure, y las solicitudes se comprueban para evitar la falsificación de solicitudes entre sitios. Las sesiones finalizan después de 30 días sin uso. Para cambiar tu contraseña, tu correo de recuperación o la configuración de la autenticación de dos factores, o para eliminar tu cuenta, debes introducir tu contraseña actual.
• Notificaciones de seguridad. Cuando cambia tu contraseña, te enviamos una notificación por correo electrónico a tu dirección de recuperación verificada.

• Claves DKIM. Nuestro servidor de correo genera sus propias claves de firma DKIM (Ed25519 y RSA). Las rota cada 90 días para nuestro propio dominio y para los dominios personalizados cuyo DNS gestiona automáticamente.
• Certificados TLS. Los certificados se emiten y renuevan automáticamente para que nunca caduquen.
• Secretos. Las contraseñas, las claves de API y otros secretos se guardan en el servidor, fuera de nuestro código base, y solo la cuenta de administración del servidor puede leerlos. Nunca aparecen en nuestro repositorio de código fuente.
• Claves de las copias de seguridad. Las copias de seguridad se cifran con un par de claves cuya parte privada se conserva únicamente sin conexión, nunca en nuestros servidores. Así, pueden restaurarse incluso si se pierde el servidor y resultan inútiles para quien solo consiga los archivos de las copias de seguridad.
• Webhooks verificados. Las notificaciones de pago de Stripe solo se aceptan si tienen una firma criptográfica válida.
• Rotación. Rotamos las credenciales cuando alguien con acceso deja de trabajar con nosotros y de inmediato siempre que sospechamos que una credencial ha quedado expuesta.

• Registros. Nuestros servidores conservan durante 30 días los registros de seguridad, acceso y entrega de correo, incluidas las direcciones IP. Los usamos para mantener el Servicio en funcionamiento, investigar problemas y detectar abusos, nunca con fines publicitarios ni para crear perfiles.
• Supervisión automatizada. Un sistema automatizado comprueba cada 5 minutos nuestros contenedores, el sitio web, el servicio SMTP, la caducidad del certificado IMAPS, el espacio en disco y la antigüedad de la copia de seguridad más reciente, y nos avisa cuando detecta algún cambio.
• Prevención de intrusiones. Las direcciones desde las que fallan repetidamente los intentos de inicio de sesión en el servidor se bloquean automáticamente.
• Informes de correo. Revisamos los informes agregados de DMARC y los informes de TLS de nuestro dominio para detectar suplantaciones y problemas de entrega.

• Qué incluimos en las copias de seguridad. Cada noche, realizamos un volcado de cada una de nuestras bases de datos (cuentas, configuración, metadatos e índices del correo, Exito Vault y registros de transferencias) y de la configuración de nuestro servidor.
• Dónde. En la región EU-Central-1 de Wasabi (Ámsterdam), separada de la región de Fráncfort donde se almacenan tu correo y tus archivos.
• Cómo. Se cifran en nuestro servidor antes de subirlas mediante cifrado de clave pública. La clave privada necesaria para descifrarlas se conserva únicamente sin conexión, nunca en nuestros servidores.
• Durante cuánto tiempo. 30 días, con rotación continua. Esto también significa que los datos que elimines pueden permanecer en las copias de seguridad hasta que salgan de la rotación.
• Restauraciones. Contamos con un procedimiento documentado para reconstruir el servidor y restaurar las bases de datos a partir de las copias de seguridad.

Las copias de seguridad sirven para recuperarnos de un desastre. No se utilizan para ningún otro fin y, si alguna vez restauramos una, volvemos a eliminar todos los datos que ya se habían eliminado.

Contamos con un procedimiento escrito para los incidentes de seguridad y seguimos estos pasos:

1. 1
   Detección
   Mediante supervisión y alertas automatizadas, informes de usuarios y especialistas en seguridad, y avisos de nuestros proveedores.
2. 2
   Contención
   Aislamos los sistemas afectados, revocamos las credenciales y claves expuestas, bloqueamos el tráfico malicioso y suspendemos las cuentas que cometen abusos.
3. 3
   Evaluación
   Determinamos qué ha ocurrido, qué datos y personas se han visto afectados y cuál es la gravedad del riesgo, preservando las pruebas durante todo el proceso.
4. 4
   Notificación
   Cuando una violación de la seguridad de los datos personales deba notificarse conforme al RGPD, informamos a la autoridad de control competente en un plazo de 72 horas desde que tenemos constancia de ella y, cuando suponga un alto riesgo, informamos a las personas afectadas sin dilación indebida. Como encargados del tratamiento de los clientes de Business, les informamos sin dilación indebida y en un plazo de 72 horas, según lo establecido en nuestro Acuerdo de Tratamiento de Datos. Las interrupciones del Servicio se publican en nuestra página de estado.
5. 5
   Recuperación y aprendizaje
   Restauramos el Servicio a partir de fuentes limpias y después revisamos el incidente para encontrar la causa raíz y mejorar nuestras medidas a fin de evitar que vuelva a ocurrir.

• Sistema operativo. Las actualizaciones de seguridad se instalan automáticamente.
• Software que utilizamos. Nuestros contenedores ejecutan versiones fijadas de su software, incluido el servidor de correo Stalwart, PostgreSQL y el servidor web. Seguimos sus publicaciones de seguridad y actualizamos con rapidez, tras leer las notas de la versión y realizar una copia de seguridad.
• Dependencias. Supervisamos las dependencias de nuestra aplicación y las mantenemos actualizadas.
• Informes externos. Agradecemos los informes de especialistas en seguridad y corregimos los problemas confirmados dentro de los plazos objetivo establecidos según su gravedad (consulta Divulgación responsable).

• Revisión. Los cambios se revisan antes de implementarlos, y las implementaciones siguen procesos automatizados y repetibles.
• Protecciones integradas. Código con tipado estricto, validación de entradas, protección contra la falsificación de solicitudes entre sitios, limitación de solicitudes y encabezados de seguridad en cada respuesta, incluidos HSTS, el bloqueo de marcos y la protección contra la detección del tipo de contenido.
• Entornos separados. Para el desarrollo se utilizan sustitutos locales del almacenamiento y las bases de datos, con datos de demostración ficticios. Los datos de producción nunca se utilizan para el desarrollo ni las pruebas, y los secretos de producción nunca salen de ese entorno.
• Presencia mínima. En nuestro sitio web y nuestra aplicación no se ejecuta código de analítica ni publicidad de terceros, y desactivamos la telemetría de las bibliotecas de terceros siempre que es posible.

Mantenemos reducido el número de empresas que tratan tus datos. Las elegimos por la ubicación de los datos en la UE, sus prácticas de seguridad y sus certificaciones de seguridad publicadas, y firmamos un acuerdo de tratamiento de datos con cada una. Las revisamos periódicamente.

La lista completa, que indica qué hace cada empresa, dónde y con qué salvaguardas, está disponible en nuestra página de Subencargados del tratamiento. Anunciamos los nuevos subencargados al menos 30 días antes de que empiecen a tratar datos de clientes. Para recibir un aviso por correo electrónico, escribe a privacy@exitomail.com con el asunto «Subprocessor updates».

Explicamos abiertamente cómo está construido ExitoMail. Actualmente, la aplicación se ejecuta en un único servidor principal situado en un centro de datos de la UE. El contenido de tu correo y tus archivos se conserva por separado en un almacenamiento de objetos con redundancia gestionada por el proveedor, y las copias de seguridad cifradas de todo lo demás se guardan en una segunda región de la UE.

• Si el servidor falla. Seguimos un procedimiento documentado para reconstruirlo desde cero en un equipo nuevo y restaurar las bases de datos a partir de la copia de seguridad más reciente. Como las copias de seguridad se realizan cada noche, en el peor de los casos podrían perderse los cambios efectuados desde la última copia.
• El correo entrante espera durante las interrupciones. Cuando no se puede acceder a nuestro servidor, los servidores de correo remitentes ponen los mensajes en cola y reintentan la entrega, normalmente durante varios días, como exigen las normas del correo electrónico.
• Estado. El mantenimiento planificado y las interrupciones se publican en nuestra página de estado.

Hacemos todo lo posible por mantener ExitoMail disponible, pero, salvo que hayamos acordado contigo por escrito un acuerdo de nivel de servicio, no garantizamos un tiempo de disponibilidad específico. El plan Gratis no incluye ningún acuerdo de nivel de servicio.

Impedir el acceso de quienes envían spam o cometen fraudes protege el correo de todos: mantiene la buena reputación de nuestros servidores para que tus mensajes lleguen a Recibidos.

• Límites de envío. Cada cuenta tiene un límite de envío diario (por ejemplo, 100 mensajes al día en el plan Gratis). Los límites son más bajos para las cuentas nuevas y aumentan con la antigüedad y la confianza de la cuenta.
• Comprobaciones de registro. Limitamos la frecuencia de registro por dirección IP, rechazamos las direcciones de recuperación desechables y el formulario de registro incluye una comprobación contra bots de Cloudflare Turnstile.
• Aplicación automatizada de medidas. Nuestro sistema automatizado de aplicación de medidas supervisa las denuncias de spam, los rebotes, la inclusión en listas de bloqueo, los resultados de detección de software malicioso, los indicios de apropiación de cuentas y las denuncias. Puede limitar o suspender los envíos, suspender cuentas o dominios, bloquear transferencias y poner archivos en cuarentena, así como bloquear direcciones IP atacantes. Sus medidas son reversibles, se informa a las personas afectadas del motivo y una persona revisa cada apelación (consulta la Política de Uso Aceptable).
• Sin retransmisión abierta. El envío siempre requiere autenticación y solo puedes enviar correo desde direcciones y dominios que pertenezcan a tu cuenta.
• Filtrado. El correo entrante se comprueba en busca de spam en nuestra propia infraestructura y puede analizarse para detectar software malicioso. Para ello, nuestros servidores pueden consultar la dirección IP o el dominio del servidor remitente en listas de bloqueo públicas de DNS.
• Dominios verificados. Un dominio personalizado solo empieza a recibir o enviar correo después de que demuestres que te pertenece mediante un registro TXT de DNS, para que nadie pueda reclamar un dominio ajeno.
• Exito Transfer. Podemos analizar los archivos subidos para detectar software malicioso y bloquear los que se marquen. Los enlaces siempre caducan y las personas destinatarias pueden denunciar una transferencia con un solo clic.

Para denunciar spam, phishing u otros abusos relacionados con ExitoMail, escribe a abuse@exitomail.com. Para denunciar contenido ilegal conforme al Reglamento de Servicios Digitales de la UE, utiliza nuestro proceso de Notificación y acción. Nuestras normas figuran en la Política de Uso Aceptable.

• RGPD. Como empresa estadounidense que ofrece el Servicio en la UE, estamos sujetos al RGPD (artículo 3, apartado 2). Somos responsables del tratamiento de las cuentas personales y de los datos que necesitamos para gestionar nuestra actividad, como se describe en nuestra Política de Privacidad. Para los clientes empresariales, actuamos como encargados del tratamiento conforme a nuestro Acuerdo de Tratamiento de Datos, y las empresas que nos ayudan figuran en nuestra página de Subencargados del tratamiento.
• Reglamento de Servicios Digitales. Como servicio de alojamiento, gestionamos un proceso de notificación y acción para contenidos ilegales, explicamos nuestras decisiones y ofrecemos la posibilidad de apelar. Consulta Notificación y acción.
• Privacidad electrónica. Solo utilizamos cookies y almacenamiento estrictamente necesarios. Consulta nuestra Política de Cookies.
• Seguridad infantil. Como proveedor estadounidense, denunciamos ante el NCMEC el material que aparentemente muestre abusos sexuales a menores, tal como exige 18 U.S.C. § 2258A.
• ISO/IEC 27001:2022 e ISO/IEC 27701. Nuestro programa de seguridad se basa en estas normas. No afirmamos contar con estas certificaciones.

Si crees haber encontrado una vulnerabilidad de seguridad en ExitoMail, avísanos. Colaboraremos contigo para entenderla y corregirla, y no emprenderemos acciones legales contra las investigaciones de buena fe que sigan esta política.

Cómo informar de una vulnerabilidad

Escribe a security@exitomail.com. Incluye lo siguiente:

• una descripción de la vulnerabilidad y la URL, el host o el componente afectado;
• instrucciones paso a paso para reproducirla y, si dispones de ella, una prueba de concepto (las capturas de pantalla o un video breve son útiles);
• el impacto que crees que tiene y cómo podría aprovecharla un atacante; y
• cómo podemos contactarte y si quieres que reconozcamos tu autoría.

Si tu informe contiene información confidencial, solicítanos primero un canal seguro. No envíes software malicioso ni código de explotación que se ejecute automáticamente como archivo adjunto.

Esta dirección se destina exclusivamente a vulnerabilidades de seguridad. Para informar de spam o phishing, escribe a abuse@exitomail.com; si necesitas ayuda con tu cuenta, escribe a support@exitomail.com.

Alcance

Dentro del alcance:

• exitomail.com y todos sus subdominios, incluido mail.exitomail.com (SMTP, IMAP, JMAP, autoconfiguración y MTA-STS);
• la aplicación web: correo web, Exito Vault (incluidos los enlaces para compartir), Exito Transfer (incluidas las páginas de descarga y los enlaces «Solicitar archivos»), la configuración de la cuenta y la gestión de equipos y direcciones para dominios personalizados;
• nuestras API y los procesos de registro, inicio de sesión, autenticación de dos factores y recuperación de la cuenta; y
• cómo gestionamos los dominios personalizados (por ejemplo, su verificación). Los dominios y sitios web de los clientes no están dentro del alcance.

Fuera del alcance:

• ataques de denegación de servicio, pruebas de carga o cualquier prueba volumétrica;
• ingeniería social o phishing contra nuestro personal o nuestros usuarios, y ataques físicos contra oficinas o centros de datos;
• el envío de spam o los ataques de fuerza bruta contra contraseñas sin demostrar una vulnerabilidad subyacente;
• la ausencia de encabezados o ajustes recomendados (por ejemplo, un encabezado de seguridad) sin demostrar su impacto;
• self-XSS y problemas que requieran un dispositivo o una cuenta que ya estén comprometidos;
• los propios servicios de terceros, como Cloudflare, Stripe o Wasabi (informa de estos problemas al proveedor); y
• hallazgos de escáneres automatizados sin una prueba de concepto funcional.

Reglas de participación

• Utiliza tus propias cuentas. Realiza pruebas únicamente con cuentas que hayas creado. No interactúes con las cuentas ni los datos de otras personas sin su permiso.
• Detente si accedes a datos de otras personas. Si encuentras datos de otra persona, detente, no los conserves, uses ni compartas, e infórmanos de inmediato.
• Prueba mínima. No copies ni extraigas más datos de los estrictamente necesarios para demostrar el problema.
• No causes daños. No perjudiques el funcionamiento del Servicio, no elimines ni modifiques datos que no sean tuyos y no envíes correo a personas que no hayan aceptado recibirlo. Respeta los límites de envío de tu cuenta.
• Danos tiempo. Mantén la información confidencial hasta que publiquemos una corrección o hayan transcurrido 90 días desde tu informe, lo que ocurra primero. Si necesitamos más tiempo para corregir el problema, te explicaremos el motivo y acordaremos contigo una nueva fecha.

Protección jurídica

Si haces un esfuerzo de buena fe por cumplir esta política, consideraremos autorizada tu investigación, no emprenderemos ni respaldaremos acciones legales contra ti por este motivo y no te denunciaremos ante las autoridades. Renunciamos a aplicar las restricciones de nuestros Términos del Servicio y nuestra Política de Uso Aceptable en la medida necesaria para realizar investigaciones conforme a esta política. Si un tercero emprende acciones legales contra ti por una investigación realizada conforme a esta política, haremos constar que actuaste de acuerdo con ella.

Esta protección jurídica solo cubre nuestros sistemas; no podemos autorizar pruebas en los servicios de otras empresas. Si tienes dudas sobre si algo está permitido, consúltanos primero en security@exitomail.com.

Nuestros compromisos

Reconocimiento

Actualmente no contamos con un programa remunerado de recompensas por vulnerabilidades. Con tu permiso, estaremos encantados de agradecerte públicamente un informe válido una vez corregido el problema.

security.txt

Nuestro archivo security.txt (se abre en una pestaña nueva), ubicado en /.well-known/security.txt (RFC 9116), indica nuestro contacto de seguridad e incluye un enlace a esta política.