Cómo Crawlux protege tus datos.
Arquitectura de seguridad defense-in-depth cubriendo encriptación, control de acceso, respuesta a incidentes y divulgación de vulnerabilidades. Construida en AWS con hosting primario en región UE para alineación con GDPR.
Hechos clave de seguridad
Cinco capas de seguridad
Crawlux aplica defensa en capas a través de infraestructura, red, aplicación, datos y controles operacionales. Un atacante necesitaría comprometer múltiples capas independientes para acceder a la data de usuarios, con cada capa elevando el costo del ataque.
Hosteado en AWS con región UE primaria
Producción corre en AWS eu-west-1 con réplicas de backup en eu-central-1. Seguridad de hardware, control de acceso físico e integridad de cadena de suministro heredados de los controles SOC 2 Type II de AWS.
Aislamiento VPC con protección WAF y DDoS
Las VPCs de producción aisladas del internet público excepto a través de endpoints ALB. El WAF de CloudFlare filtra patrones de ataque conocidos. AWS Shield Standard mitiga DDoS en el borde de red.
Autenticación, limitación de tasa y protección CSRF
Todas las rutas autenticadas requieren tokens de sesión válidos. Rate limits aplicados por IP y por cuenta. Tokens CSRF para operaciones que cambian estado. Validación de input en cada frontera de API.
Encriptación AES-256 en reposo, TLS 1.3 en tránsito
Base de datos, object storage y backup storage todos encriptados con AES-256 usando claves manejadas por AWS KMS. Tráfico de API protegido con TLS 1.3 mínimo. Las API keys y secretos de webhooks usan envelope encryption.
Registros de acceso, pistas de auditoría y administración con MFA obligatorio
El acceso a la base de datos de producción requiere MFA. Todo el acceso loggeado con usuario, acción y timestamp. Las auditorías mensuales de acceso identifican y remueven permisos sin usar. El acceso a data del cliente requiere justificación loggeada.
Cobertura de encriptación
La encriptación aplica a cada categoría de data que Crawlux maneja. La tabla abajo mapea cada tipo de data al mecanismo de encriptación y enfoque de manejo de claves.
| Data type | En tránsito | En reposo | Key management |
|---|---|---|---|
| Audit JSON output | TLS 1.3 | AES-256 | AWS KMS |
| PDF reports | TLS 1.3 | AES-256 | AWS KMS · S3 SSE-KMS |
| User account data | TLS 1.3 | AES-256 | AWS RDS encryption |
| Claves de API (cuando se lancen) | TLS 1.3 | AES-256 · envelope | Claves aisladas por cliente |
| Secretos de firma de webhooks | TLS 1.3 | AES-256 · envelope | Claves aisladas por cliente |
| Datos de pago | TLS 1.3 to Stripe | Stripe-side only | Stripe PCI infrastructure |
| Respaldos de base de datos | TLS 1.3 | AES-256 | Cross-region replicated |
| Server logs | TLS 1.3 | AES-256 | CloudWatch encryption |
Encriptación de claves aislada por cliente
Las API keys y secretos de firma de webhooks usan envelope encryption donde los secretos de cada cliente están encriptados con una clave KMS por-cliente. Una brecha de la capa de storage de un cliente no expone los secretos de otros clientes.
Quién tiene acceso a tus datos
El acceso a sistemas de producción y data del cliente está restringido a miembros del equipo de ingeniería con necesidad de negocio documentada. El principio de menor privilegio aplica a través de cada sistema. Todo el acceso está loggeado.
Respuesta a incidentes de 5 fases
Cuando un incidente de seguridad es detectado, la respuesta sigue un proceso definido de 5 fases con objetivos claros de tiempo en cada fase. La página de status loggea todos los incidentes confirmados públicamente con timestamps.
Programa de divulgación responsable
Los investigadores de seguridad que encuentran vulnerabilidades pueden divulgarlas a través de nuestro programa de divulgación responsable. Seguimos los principios de divulgación coordinada con objetivos de tiempo de respuesta que escalan con la severidad.
| Severidad | Respuesta inicial | Objetivo de remediación |
|---|---|---|
| Crítica (RCE, bypass de autenticación, exposición de datos) | 24 horas | 7 días desde la confirmación |
| Alta (escalada de privilegios, divulgación de datos sensibles) | 3 días hábiles | 30 días desde la confirmación |
| Media (divulgación de información, problemas de menor impacto) | 5 días hábiles | 60 días desde la confirmación |
| Baja (problemas menores, defensa en profundidad) | 10 días hábiles | 90 días desde la confirmación |
Safe harbor para investigadores
Los investigadores actuando de buena fe dentro del alcance de este programa no están sujetos a acción legal bajo los términos de servicio. Fuera de alcance: ingeniería social del staff, ataques físicos, pruebas de denial-of-service, ataques contra cuentas de clientes.
Certificaciones y roadmap
Crawlux corre en infraestructura AWS con extensas certificaciones heredadas de la plataforma. Las certificaciones independientes de Crawlux están en el roadmap con fechas objetivo publicadas abiertamente.
Preguntas comunes
Seis preguntas cubriendo encriptación, respuesta a incidentes, divulgación de vulnerabilidades, acceso interno, ubicación geográfica de data y certificaciones.
¿Mis datos de auditoría están cifrados?
Sí. Toda la data está encriptada en tránsito usando TLS 1.3 y en reposo usando AES-256. El storage de base de datos, storage de backup y object storage todos usan encriptación AES-256 con claves manejadas por el KMS del proveedor cloud. Las API keys y secretos de firma de webhooks están encriptados con envelope encryption usando claves aisladas por cliente.
¿Cómo manejan los incidentes de seguridad?
Los incidentes de seguridad siguen un proceso de respuesta de 5 fases: Detección dentro de 15 minutos vía monitoreo automatizado, Contención dentro de 1 hora para limitar el blast radius, Evaluación dentro de 4 horas para determinar alcance e impacto, Remediación típicamente dentro de 24 horas y Comunicación a usuarios afectados dentro de 72 horas de la confirmación. La página de status loggea todos los incidentes confirmados con timestamps.
¿Tienen un programa de divulgación de vulnerabilidades?
Sí. Los investigadores de seguridad pueden divulgar vulnerabilidades en [email protected]. Seguimos los principios de divulgación responsable con una ventana de divulgación coordinada de 90 días. Las vulnerabilidades críticas reciben una ventana de respuesta de 24 horas. Actualmente no ofrecemos bug bounties pero sí acreditamos públicamente a los investigadores que divulgan en nuestro hall de reconocimiento.
¿Quién tiene acceso interno a mis datos?
El acceso está limitado a miembros del equipo de ingeniería con necesidad de negocio documentada. Todo el acceso está loggeado con usuario, acción y timestamp. El acceso a la base de datos de producción requiere autenticación multi-factor y es auditado mensualmente. La data del cliente nunca es accedida por razones no esenciales. Las solicitudes de soporte que requieren acceso a data son loggeadas con el solicitante, destinatario y justificación.
¿Dónde se almacenan geográficamente mis datos?
La infraestructura primaria está hosteada en AWS en regiones UE (eu-west-1 y eu-central-1) para alineación con GDPR. Las réplicas de backup están en regiones US de AWS (us-east-1) para redundancia. Los resultados de auditoría pueden ser procesados en regiones de proveedores upstream durante el análisis (DataForSEO, motores IA) pero la data procesada regresa a nuestra infraestructura primaria UE dentro de minutos.
¿Qué certificaciones tienen?
La infraestructura de Crawlux corre en AWS que tiene SOC 2 Type II, ISO 27001 e ISO 27017. Crawlux como empresa está actualmente trabajando hacia certificación SOC 2 Type II independiente con finalización objetivo Q4 2026. El roadmap incluye certificación ISO 27001 objetivo Q2 2027. Los contratos enterprise pueden solicitar los reportes de attestation de AWS inmediatamente.
Contacto de seguridad
Para divulgación de vulnerabilidades, preguntas de seguridad o reportes de incidentes, el email dedicado de seguridad es enrutado directamente al equipo de seguridad de ingeniería.
Divulgación de seguridad
Email: [email protected]
PGP key: Disponible a solicitud
Plazo de respuesta: Según la tabla de severidad anterior
Divulgación coordinada: Ventana de 90 días desde la confirmación
Para preguntas de seguridad relacionadas con la privacidad, consulta la política de privacidad. Para preguntas sobre uso aceptable, consulta la política de uso aceptable. Para conocer el estado del servicio durante incidentes, consulta la página de estado.
HAZ TU PRIMERA AUDITORÍA GRATIS
Mira Crawlux en tu propio sitio crypto.
Sin registro, sin tarjeta de crédito. Reporte completo de auditoría afinada para Web3 en 60 segundos.
Primera auditoría gratis · Sin registro · 60 segundos · Informe PDF completo