Confianza y seguridad en DNSPeek

De cada enlace guardamos lo necesario para servirlo:

• el nombre del enlace, tu dominio, la dirección IP y los puertos del nuevo servidor, y el modo SSL;
• los ajustes opcionales: la dirección de un sitio anterior para comparar, una contraseña (como hash), una fecha de expiración y el espacio al que pertenece;
• quién lo creó, en qué espacio de trabajo y cuándo. En un enlace de invitado sin cuenta, en su lugar, la dirección IP de quien lo creó.

Los informes de QA y las comparaciones visuales guardan en tu espacio de trabajo lo que generaste con ellos, como resultados y capturas de pantalla.

El proxy de vista previa reescribe las páginas en memoria mientras van hacia el visitante y no guarda el contenido de las páginas. De cada solicitud registra el enlace, el código de estado, el tiempo de respuesta, la dirección IP y el navegador (user agent) del visitante, y la hora. Este registro es un búfer circular: solo se conservan unas 100.000 solicitudes más recientes de todo el servicio y las entradas más antiguas se descartan.

Durante una sesión de comparación en vivo, el proxy también anota lo que respondió cada servidor (estado, tipo de contenido y cabeceras de caché y de seguridad) para señalar qué está peor en el nuevo servidor. El contenido de las páginas, los valores de las cookies y las cabeceras de solicitud distintas de Referer y Sec-Fetch-Dest nunca se registran, y estas notas expiran a los 30 minutos.

• Las contraseñas de las cuentas y de los enlaces de vista previa se guardan como hashes bcrypt, nunca en texto plano.
• Las claves de API se guardan como hashes SHA-256 y se muestran una sola vez, cuando las creas o las rotas.
• Los datos de acceso que das a un informe de QA para un sitio protegido se guardan cifrados y no se vuelven a mostrar después de guardarlos.
• Los intentos de contraseña en enlaces de vista previa protegidos están limitados para impedir que se adivine.

Cada respuesta que sirve un enlace de vista previa lleva la cabecera X-Robots-Tag: noindex, nofollow, que sustituye a la que envíe el propio sitio. La vista previa de tu sitio nunca debe competir con el sitio real en los resultados de búsqueda.

Cada vista previa recibe su propio subdominio en un dominio distinto del panel de DNSPeek, y las cookies que fija tu servidor se quedan en la dirección de esa vista previa. Por eso, los scripts de un sitio en vista previa no pueden acceder a tu sesión de DNSPeek ni a las cookies de otro enlace.

• Cada enlace nuevo se comprueba en las listas de amenazas de Google (Web Risk). Si el dominio de un enlace figura en ellas por phishing o malware, el enlace se desactiva; un análisis opcional de la página pone la vista previa en espera de revisión si considera que la página es maliciosa. Consulta Comprobaciones de seguridad del sitio.
• Mantenemos una lista de bloqueo de dominios, direcciones IP y rangos que las vistas previas no pueden usar.
• Las direcciones de red privada y de loopback se rechazan al crear un enlace, y el proxy vuelve a comprobar cada dirección antes de conectarse, así que una vista previa no puede apuntar a una red interna.
• Los enlaces de invitado tienen límites: como máximo 5 por hora y un enlace activo por dirección IP.
• Cualquiera puede denunciar una vista previa con el formulario de denuncia de abuso; las normas están en nuestra Política de uso aceptable.

• Verificación en dos pasos con app de autenticación y códigos de respaldo, además de llaves de acceso.
• Correos de seguridad que no puedes desactivar: cuando cambian la verificación en dos pasos o tu contraseña, se añade o elimina una llave de acceso, se cierran sesiones o inicia sesión un dispositivo nuevo.
• En los planes de equipo, las listas de IP permitidas limitan un espacio de trabajo a redes aprobadas. Consulta Listas de IP permitidas.
• La cookie de inicio de sesión es HttpOnly, así que los scripts de una página no pueden leerla.

El panel, la API, el proxy de vistas previas y los procesos en segundo plano funcionan en contenedores en un servidor que administramos nosotros mismos. Las solicitudes a DNSPeek pasan por Cloudflare, que aporta DNS, TLS y protección contra ataques. Las cuentas, los enlaces y los registros de facturación se guardan en una base de datos PostgreSQL gestionada en Supabase.

Los informes de errores los guarda Sentry en su región de la UE (Fráncfort). La analítica de producto solo funciona con tu consentimiento y la guarda PostHog en la UE. Estadísticas de visitas sin cookies: dirección IP, país según Cloudflare, se eliminan a los 90 días y nunca se comparten.

Estado actual de cada parte del servicio: página de estado.

¿Necesitas las ubicaciones exactas del alojamiento para una revisión de proveedores o de seguridad? Escribe a support@dnspeek.link.

Estas empresas tratan datos en nuestro nombre para que DNSPeek funcione. Los proveedores de pago solo reciben datos cuando pagas a través de ellos. Lo que recibe cada una se detalla en la página de privacidad.

La base de datos se copia cada 24 horas. Las últimas 14 copias se quedan en nuestro servidor, junto con una copia de reserva de la base de datos que se actualiza con cada una, de modo que el servicio puede pasar a ella si la base principal no está disponible.

Además se guardan copias cifradas fuera del servidor en Cloudflare R2: 14 diarias, 8 semanales y 6 mensuales. Cada versión que cambia la estructura de la base de datos hace antes una copia nueva, y la restauración sigue un procedimiento escrito.

Solo los responsables de la plataforma pueden descargar una copia, tras volver a confirmar su identidad; cada descarga queda registrada y se notifica por correo a todos ellos. Las capturas y los archivos de informes no se copian: pueden generarse de nuevo.

Descarga una copia JSON de tus datos o elimina tu cuenta tú mismo en Ajustes → Datos y privacidad, sin escribir a soporte. Al eliminar tu cuenta se borra tu espacio de trabajo personal con sus enlaces, informes y comparaciones. Consulta Exportar tus datos o eliminar tu cuenta.

Si dejas de pagar, no se elimina nada: el espacio de trabajo pasa al plan gratuito y las funciones de pago quedan en pausa. Consulta Qué pasa al cambiar a un plan inferior.

¿Has encontrado una vulnerabilidad en DNSPeek? Escribe a support@dnspeek.link con los pasos para reproducirla, la dirección afectada y lo que podría hacer un atacante.

• Prueba solo con tu propia cuenta y tus propios enlaces de vista previa.
• No accedas a datos de otras personas ni los cambies o borres, y para en cuanto encuentres alguno.
• Nada de denegación de servicio, spam, ingeniería social ni ataques físicos.
• Danos un tiempo razonable para solucionarlo antes de hacerlo público.

Confirmaremos que hemos recibido tu informe y te avisaremos cuando esté solucionado. Este contacto también está publicado en security.txt.

Los clientes empresariales pueden obtener un acuerdo de tratamiento de datos (DPA) previa solicitud: escribe a support@dnspeek.link.

Lee nuestra página de privacidad y cookies, los términos del servicio y la Política de uso aceptable. ¿Tienes una pregunta sobre seguridad o privacidad? Escribe a support@dnspeek.link.