Uso este mesFacturado a tu propia cuenta de proveedor
9:41
Tokens cifrados en reposo Solo APIs oficiales
Sigue tus datos a través de AeroReply
Elige algo que nos confíes y ve exactamente adónde va y cómo se protege.
1Tu navegador
2HTTPS · TLS
3API de AeroReply
4AES-256-GCM
Almacenado encriptado
Cifrado en tránsito y en reposo
Cada solicitud a AeroReply se sirve mediante HTTPS, con certificados TLS emitidos y renovados automáticamente en nuestro proxy perimetral. Los valores sensibles que conservamos en tu nombre se cifran en reposo con AES-256-GCM, usando un vector de inicialización nuevo por valor y una etiqueta de autenticación en cada registro. Esto cubre los tokens de acceso y actualización de OAuth de tus cuentas sociales conectadas, los secretos de cliente de la plataforma, las credenciales de proveedor almacenadas y los destinos de webhooks. Las claves de cifrado se suministran a la aplicación mediante el entorno y nunca se escriben en la base de datos junto con los datos que protegen.
Autenticación y control de acceso
Las contraseñas se hashean con bcrypt con un factor de coste 12 y nunca se almacenan, registran ni pueden recuperarse en texto plano. Una sesión iniciada usa un token de acceso de corta duración (15 minutos por defecto) emparejado con un token de actualización de larga duración que existe en nuestra base de datos solo como un hash SHA-256; cada actualización rota ese token, y reutilizar un token ya rotado se considera un robo y revoca todas las sesiones activas de esa cuenta. Los endpoints de inicio de sesión, los restablecimientos de contraseña y los endpoints públicos tienen límite de solicitudes por IP. Dentro de un espacio de trabajo, el acceso se rige por roles que se resuelven en un catálogo granular de permisos, y cada endpoint con ámbito de espacio de trabajo verifica tu pertenencia y el permiso específico antes de leer o escribir cualquier cosa. Las claves de API públicas se generan con bytes aleatorios criptográficamente seguros, se te muestran exactamente una vez y se almacenan solo como un hash SHA-256 junto a un prefijo abreviado visible; realmente no podemos recuperar una clave perdida, solo rotarla o revocarla, y cada clave incluye un ámbito explícito de lectura o escritura aplicado en cada ruta.
Infraestructura y alojamiento
AeroReply se ejecuta como una pila en contenedores — aplicación web, API, workers en segundo plano, PostgreSQL y Redis — detrás de un único proxy inverso que finaliza TLS. Los almacenes de datos no exponen puertos a Internet; el proxy es el único componente que acepta tráfico entrante. Los archivos multimedia subidos se almacenan en object storage y se escriben mediante cargas firmadas de corta duración, no en un bucket ampliamente editable. En la capa de la API aplicamos el endurecimiento HTTP estándar: encabezados de seguridad, una lista explícita de orígenes permitidos para CORS en lugar de un comodín y límites de tamaño del cuerpo de las solicitudes. Cualquier URL que nos proporciones y a la que luego llamemos —un destino de webhook, un feed importado— se valida primero frente a rangos de direcciones privadas, loopback y reservadas, de modo que la plataforma no puede usarse para acceder a redes internas.
Copias de seguridad y recuperación ante desastres
La base de datos de producción se exporta cada noche de forma automatizada y el archivo se envía a un almacenamiento de objetos independiente del servidor de la aplicación. Redis funciona con persistencia de solo anexado, de modo que los trabajos en cola y en curso — publicaciones programadas, renderizados, entregas — sobreviven a un reinicio en lugar de perderse silenciosamente. Las acciones destructivas del producto usan eliminaciones lógicas por diseño: los registros eliminados se marcan y se excluyen de todas las rutas de lectura en lugar de borrarse de inmediato, lo que permite recuperar una eliminación accidental. No publicamos un tiempo de recuperación ni un objetivo de punto de recuperación contractual, y preferimos decirlo antes que citar una cifra que no hemos probado. Si su organización necesita compromisos de recuperación específicos por escrito, contáctenos antes de comprar.
Subencargados del tratamiento
Usamos un pequeño número de terceros para operar el servicio y no vendemos, alquilamos ni intercambiamos tus datos con nadie. Los pagos y la facturación de suscripciones los gestiona Stripe, que procesa los datos de la tarjeta directamente; los números de tarjeta nunca llegan a nuestros servidores. Los archivos multimedia subidos se almacenan en Amazon S3. Los correos transaccionales se envían a través de nuestro proveedor de correo. Las funciones de IA llaman al proveedor de modelos configurado para tu espacio de trabajo, y tu contenido se envía a ese proveedor solo en el momento en que activas una función de IA. Las funciones de publicación, mensajería y analítica intercambian datos con las plataformas sociales que elijas conectar, bajo los términos de esas plataformas. Si necesitas la lista actual de subencargados en un formato que puedas adjuntar a una revisión de proveedor, escríbenos por correo y te la enviaremos.
Divulgación responsable
Si cree que ha encontrado una vulnerabilidad, infórmelo a security@aeroreply.com antes de divulgarlo en cualquier otro lugar. Incluya suficiente detalle para que podamos reproducir el problema: una prueba de concepto, el endpoint afectado y el impacto. Acusaremos recibo de todos los informes de buena fe, le mantendremos informado mientras lo investigamos y le daremos crédito si así lo desea. A cambio, le pedimos que no ejecute escáneres automatizados en producción, que no degrade el servicio para otros clientes y que no acceda, modifique ni conserve datos de nadie más que los suyos propios. No emprenderemos acciones legales contra los investigadores que actúen de buena fe dentro de estos límites.
Respuestas directas de los creadores
Postura de cumplimiento
Respuestas específicas en lugar de insignias
Actualmente no contamos con certificación SOC 2, ISO 27001 ni ningún marco equivalente, y no daremos a entender lo contrario. Las prácticas anteriores reflejan cómo está construido el sistema hoy, y con gusto las revisamos contigo. Puedes eliminar tu espacio de trabajo en cualquier momento, y al desconectar una cuenta social se borran los tokens que almacenamos para ella.
Cuestionarios de seguridad completados a petición
Acuerdos de tratamiento de datos disponibles
Los callbacks de eliminación de datos de la plataforma se respetan
