Descripción general
En Play Digital Signage nos tomamos muy en serio la seguridad de tus datos. Esta página resume los procedimientos de seguridad de Play Digital Signage.
Seguridad de la cuenta
Las contraseñas se guardan en la base de datos cifradas con Argon2, un algoritmo de hash de contraseñas de primer nivel. Así, el personal no conoce las contraseñas y no quedarían al descubierto en el improbable caso de una filtración. Las sesiones de inicio de sesión usan cookies solo por HTTPS seguro para evitar que alguien las robe interceptando la conexión.
Al registrarte (o al cambiar la contraseña), comprobamos la contraseña contra una base de datos pública de contraseñas filtradas para asegurar que no usas una contraseña insegura. La contraseña no sale de nuestros servidores durante la comprobación; usamos el protocolo k-anonymity para consultarla en el servicio de confianza HaveIBeenPwned.
El chat web lo gestiona Crisp, otra empresa muy pendiente de la seguridad. Sus prácticas están descritas con detalle.
Además:
- Toda la comunicación entre tus dispositivos o el navegador y nuestros servidores está protegida con SSL y DNSSEC.
- Hacemos copias de seguridad de tus datos varias veces al día.
- Usamos Cloudflare para detectar y mitigar ataques.
- Admitimos la autenticación de dos factores.
- Toda la comunicación entre nuestros servidores va cifrada y por redes privadas.
- El portal web usa reglas CSP para evitar ataques XSS.
- La API solo admite peticiones CORS desde los sitios web de nuestro dominio.
Más información:
- https://en.wikipedia.org/wiki/Argon2
- https://www.password-hashing.net/
- https://docs.crisp.chat/guides/others/security-practices/
- https://en.wikipedia.org/wiki/K-anonymity
- https://haveibeenpwned.com/Passwords
Seguridad del tráfico
Todas las conexiones a nuestros servidores son HTTPS, lo que significa que el tráfico va cifrado, incluidas las conexiones WebSocket. Hemos desactivado SSLv3 y usamos solo TLS.
El tráfico de internet pasa por la red de Cloudflare, que protege los servidores frente a ataques de denegación de servicio (DoS) y de fuerza bruta.
Más información:
Seguridad de los archivos
Los archivos se guardan en servidores de Europa o de Estados Unidos, según tu ubicación. No podemos hacerlos privados, porque los reproductores tienen que poder descargarlos de internet, pero generamos un identificador único para cada archivo, así que la URL es prácticamente imposible de adivinar. Por ejemplo, esta es la URL de un archivo subido:
Quien ataque tiene más posibilidades de adivinar tu contraseña. (así que asegúrate de que sea segura)
Los archivos que subes también tienen copia de seguridad en la misma región (Europa o Estados Unidos, según tu ubicación), como respaldo si el almacenamiento principal se interrumpe.
Para los archivos que hay que convertir (cualquier vídeo que no sea .mp4, y los formatos de oficina de Apple .key, .numbers y .pages), usamos el servicio de conversión CloudConvert. Explican el tratamiento de los archivos en su política de privacidad:
Al prestar el servicio, tus archivos se transfieren y se almacenan temporalmente en servidores de CloudConvert. No leemos, miramos ni extraemos ningún dato de tus archivos ni de sus metadatos. No hacemos copias. Todo el procesamiento lo hace una máquina y no hay interacción humana con tus archivos. Tus archivos se borran de inmediato y de forma irreversible de nuestros servidores cuando haces clic en el icono «×» (a la derecha, junto al botón Download). Esto ocurre automáticamente como muy tarde a las 24 horas.
Si la política de la empresa u otro motivo impide guardar los archivos en la web pública, también puedes referenciar archivos de un servidor de archivos privado. Más información sobre archivos privados.
Seguridad del reproductor
Cuando un reproductor se vincula a una cuenta de usuario, el servidor genera un token secreto único que se envía al reproductor una sola vez. Cada petición posterior del reproductor a nuestros servidores exige ese token, para impedir que alguien se haga pasar por el reproductor. El eslabón más débil es la seguridad física del reproductor, así que ponlo fuera de la vista y, si puedes, fuera de alcance.
Más información:
Seguridad de la tarjeta de crédito
Usamos Stripe como pasarela de pago, y ellos se encargan de guardar la información de forma segura. Stripe es una empresa certificada por el estándar de seguridad de datos PCI. Al vincular una tarjeta de crédito a la cuenta, los números de la tarjeta se envían a los servidores de Stripe directamente desde el navegador; nuestro sistema no guarda ni procesa la información de la tarjeta.
Más información:
Lista blanca
Si el reproductor está detrás de un cortafuegos de empresa, hay que permitir estos dominios (puerto 443) en el protocolo https:// y en el protocolo wss://:
- playsignage.com
- Recomendamos permitir todos los subdominios de *.playsignage.com para estar preparados. Si no se puede usar un comodín, el reproductor también puede usar estos subdominios:
- registry.playsignage.com (conexión WebSocket, protocolo wss://)
- stream.playsignage.com OR us-stream.playsignage.com (conexión WebSocket, protocolo wss://)
- [recomendado, opcional] stream-dc.playsignage.com OR us-stream-dc.playsignage.com (conexión WebSocket, protocolo wss://)
- eu-api.playsignage.com OR us-api.playsignage.com (conexión a la API)
- release.playsignage.com (solo para reproductores Windows / OSX / Linux, para la actualización automática)
- eu-storage.playsignage.com OR us-storage.playsignage.com (almacenamiento de archivos)
- quotes.playsignage.com (el plugin Frase del día usa este punto para obtener frases)
- onthisday.playsignage.com (el plugin Hoy en la historia usa este punto para obtener datos)
- widgets.playsignage.com (plugins de Facebook, Instagram y lector RSS)
- proxy.playsignage.com (los plugins Tiempo, Facebook, e Instagram usan este dominio)
- my.playsignage.com (ubicación del proxy que obtiene recursos web no HTTPS)
- logging.playsignage.com (opcional, para que recibamos los registros del reproductor y podamos depurar problemas)
- analytics.playsignage.com OR us-analytics.playsignage.com (opcional, si quieres usar la función de analítica)
- Algunos plugins se comunican con sistemas externos:
Preguntas frecuentes
No recuerdo si creé el acceso con una cuenta de red social.
Si creaste la cuenta con Facebook, sigue usándola. Pero si lo olvidaste y creas un acceso nuevo, por ejemplo con usuario y contraseña, vinculamos ambos accesos a la misma cuenta. Así da igual iniciar sesión con Facebook o con usuario y contraseña, porque es la misma cuenta.
Si no puedes iniciar sesión, usa «¿Has olvidado la contraseña?». Si tienes preguntas, escríbenos por el chat en directo (en inglés).
¿Cómo se sabe que mi contraseña está comprometida?
En cada inicio de sesión correcto usamos el protocolo k-anonymity para comprobar la contraseña de forma segura contra una base de datos en línea de contraseñas comprometidas: Pwned Passwords. El sistema te avisa si la contraseña ha formado parte de una o más filtraciones y te pide que la cambies para mantener la cuenta segura.
IMPORTANTE: todas las contraseñas de la base de datos están cifradas (con hash) con el algoritmo de primer nivel Argon2, y nadie más que tú sabe cuál es la contraseña real.
¿Cómo informo de vulnerabilidades de seguridad que encuentre en el software?
Si crees que has encontrado una vulnerabilidad de seguridad en el software o quieres hacer pruebas de penetración, lee el programa de divulgación de vulnerabilidades para saber cómo avisarnos.
¿Qué certificaciones hay?
Aunque el sistema no tiene ahora certificaciones formales de seguridad, ha superado una evaluación de seguridad de aplicaciones en la nube de nivel 2 (CASA), que incluyó una revisión completa del código por un evaluador externo.
También seguimos prácticas de programación segura y los principios del OWASP Top 10 para mejorar la seguridad de forma continua.
¿Dónde están los centros de servidores?
Los servidores y tus datos están en Estados Unidos y en Europa. Si la primera persona del equipo se registra desde una IP de Estados Unidos, los datos de ese equipo se guardan solo en servidores de Estados Unidos.
Hay que permitir los dominios. ¿En cuáles hay que centrarse?
Hay varios dominios que trabajan juntos al acceder a Play Digital Signage. Por nombrar algunos:
- login.playsignage.com para la autenticación
- my.playsignage.com para acceder al panel de control
- us-api.playsignage.com y assets.us.playsignage.com para la API
- playsigna.ge para previsualizar el contenido
- release.playsignage.com para descargar o actualizar la aplicación
La mejor solución es permitir todos los subdominios de *.playsignage.com.
