En Tiza se guardan datos de docentes y de estudiantes, y los tratamos con el cuidado que merecen. Esta página cuenta, sin tecnicismos, cómo los protegemos, qué puedes hacer tú para proteger tu cuenta y cómo avisarnos si encuentras una falla.
1. Lo que hacemos
- Conexión cifrada. El sistema se abre por HTTPS y el navegador recuerda abrirlo siempre así.
- Contraseñas protegidas. Se guardan con un método de un solo sentido, pensado para ser lento de adivinar. Nadie puede leerlas. Pedimos al menos 8 caracteres, con letras y números, y no aceptamos las más comunes ni las que contienen tu nombre o tu correo.
- Intentos limitados. Después de varios intentos fallidos el acceso se bloquea por unos minutos. Los códigos que enviamos por correo valen 15 minutos y se anulan si se equivocan varias veces.
- Sesiones seguras. La cookie de sesión no es legible por los programas de la página, no viaja desde otros sitios y, con HTTPS, solo viaja cifrada. Al cambiar tu contraseña se cierran las demás sesiones abiertas.
- Cada cuenta ve solo lo suyo. Los datos de un docente no se muestran a otros, y cada rol (docente, soporte, administrador) tiene únicamente los permisos que necesita.
- Páginas con barreras. Las páginas llevan cabeceras de seguridad: no se pueden incrustar en otros sitios, solo cargan programas del propio sistema y, si alguien lograra colar un texto malicioso, el navegador no lo ejecutaría. Las acciones que cambian datos solo se aceptan desde las propias pantallas del sistema.
- Evaluaciones en vivo. La corrección la hace el servidor. La pantalla del estudiante recibe la pregunta, no la clave de respuestas.
- Datos fuera de alcance. Los archivos con los datos no se pueden descargar desde internet.
- Constancia. Los accesos, los intentos fallidos, los cambios de cuentas y de roles, los restablecimientos de contraseña, los cierres y aperturas de cuentas, los cambios de configuración y la descarga de copias quedan registrados.
- Acciones delicadas con doble llave. Los cambios de configuración y la eliminación de una cuenta piden la contraseña de quien los hace. Cerrar muchas cuentas de una vez no lo puede hacer el soporte por su cuenta: el sistema pide la validación de la administración.
- Copias de seguridad. El sistema hace una copia automática cada día en una carpeta protegida que no se puede abrir desde internet, con permiso solo para el sistema. Ninguna copia se conserva más de 30 días.
- Casos confidenciales. La copia de seguridad normal que se descarga los deja fuera; para incluirlos hay que pedir expresamente la copia completa y confirmar con la contraseña. Las copias automáticas del servidor son completas, por eso están en esa carpeta protegida y se destruyen solas.
- Nada de rastreo. Sin publicidad, sin analítica de terceros; las letras y los iconos se sirven desde el propio sistema. El conteo de cuántas veces se usa cada parte del sistema lo hace el propio sistema, en nuestro servidor, y no guarda lo que escribes.
2. Lo que puedes hacer tú
- Usa una contraseña larga y que no uses en ningún otro sitio. Un gestor de contraseñas ayuda mucho.
- No compartas tu cuenta ni tu contraseña, ni siquiera con colegas de confianza: cada persona debe tener la suya.
- Cierra la sesión («Salir») en los equipos que no son tuyos o que se comparten.
- Mantén actualizados tu navegador y tu equipo, y cuida la seguridad de tu correo: quien entra a tu correo puede pedir un código de recuperación.
- Desconfía de mensajes que digan ser de Tiza y te pidan tu contraseña o un código. Nunca te pediremos tu contraseña por correo, teléfono o mensaje.
- Guarda en tu equipo copias de los documentos importantes.
- Si crees que alguien entró a tu cuenta, cambia tu contraseña de inmediato y escríbenos.
3. Cómo reportar una falla de seguridad
Si encontraste algo que pueda poner en riesgo los datos o el funcionamiento del sistema, escríbenos a [email protected]. Cuéntanos qué viste, cómo repetirlo, en qué dirección ocurre y qué impacto crees que tiene. Si puedes, escribe en español o en inglés. Estos mismos datos están publicados en el archivo estándar /.well-known/security.txt.
Qué te pedimos:
- Actúa de buena fe y avísanos antes de contárselo a otras personas, para que podamos corregirlo.
- No accedas, modifiques ni borres datos de otras personas. Si necesitas demostrar el problema, usa tu propia cuenta o datos de prueba y detente en cuanto lo compruebes.
- No hagas ataques de denegación de servicio, no mandes correo masivo, no uses ingeniería social ni pruebas físicas, y no pruebes contra cuentas de otras personas.
- No incluyas datos personales de terceros en tu reporte.
Qué haremos nosotros: te confirmaremos la recepción lo antes posible, te mantendremos al tanto de cómo avanza la corrección y, si quieres, te mencionaremos como quien lo reportó. No ofrecemos recompensas económicas. Si actúas de buena fe y cumples lo anterior, no emprenderemos acciones legales contra ti por esa investigación.
Fuera de alcance: fallas de servicios de terceros (el alojamiento, Google), reportes de herramientas automáticas sin una demostración del impacto, y recomendaciones generales de configuración que no representen un riesgo real.
4. Si algo sale mal
Si ocurriera una vulneración que afecte datos personales, la investigaremos, la contendremos y avisaremos a la autoridad y a las personas afectadas en la forma y los plazos que fija la ley. Los detalles sobre tus datos y tus derechos están en la política de privacidad.