Seguridad
La seguridad es parte de cómo se construye, opera y documenta Kanera, especialmente para los equipos que eligen entre implementación alojada y autohospedada.
Efectivo 20 de agosto de 2026 · Versión 2
Hosted Kanera está diseñado con controles en capas en seguridad de aplicaciones, infraestructura, monitoreo, administración de acceso y revisión operativa.
Kanera autohospedado le brinda a su equipo control sobre el entorno de ejecución. Ese control también significa que su organización es responsable del refuerzo de la implementación, la aplicación de parches, las copias de seguridad, la exposición de la red y la supervisión.
Los controles a continuación describen la implementación actual de Kanera revisada el 20 de agosto de 2026. No representan que Kanera tenga una certificación de seguridad independiente ni una opinión de auditoría. Actualizamos esta sección cuando los controles o la arquitectura cambian materialmente.
Los propietarios del espacio de trabajo controlan qué usuarios están invitados, qué acceso reciben y qué contenido se coloca en Kanera.
Kanera no debe usarse para almacenar datos altamente regulados a menos que su organización haya revisado la implementación, la configuración, los términos contractuales y los requisitos legales para ese uso.
Para Kanera alojada, nuestros compromisos contractuales de seguridad, notificación de incidentes, subprocesador, asistencia, auditoría y eliminación se establecen en el Anexo de procesamiento de datos. Notificamos a los clientes afectados sobre una violación confirmada de datos personales sin demoras indebidas y proporcionamos información razonablemente disponible para respaldar su respuesta.
Envíe por correo electrónico las vulnerabilidades sospechosas a [email protected]; no utilice un tema público. Incluya el componente, la versión, la URL, el punto final o el modo de implementación afectados; pasos de reproducción o una prueba mínima de concepto; impacto probable; solicitudes, registros o capturas de pantalla relevantes con secretos eliminados; y tus datos de contacto preferidos y si quieres crédito público. Nuestro objetivo es acusar recibo de un informe dentro de los 3 días hábiles y brindar una evaluación inicial o solicitar más información dentro de los 10 días hábiles. Estos son objetivos, no garantías.
Su alcance incluye autenticación y autorización, aislamiento de inquilinos, acceso a tableros privados, secretos almacenados y fuga de tokens, cargas y manejo de archivos, API, OAuth, MCP, webhooks, funciones en tiempo real, límites de facturación y la implementación autohospedada predeterminada. La ingeniería social, el spam, los hallazgos que dependen únicamente de configuraciones de desarrollo intencionalmente débiles y las pruebas de denegación de servicio en producción sin permiso por escrito están fuera de alcance.
Actualmente no publicamos una clave PGP y el correo electrónico ordinario no es un canal de denuncia cifrado de extremo a extremo. No envíe credenciales vivas ni datos personales. Pregunte en el primer correo electrónico si necesita que organicemos un intercambio más seguro de pruebas confidenciales.
Si actúa de buena fe, prueba solo cuentas, datos y sistemas que posee o tiene permiso explícito para probar, se mantiene dentro del alcance anterior, evita violaciones de privacidad e interrupciones del servicio, accede solo a los datos mínimos necesarios para demostrar el problema, se detiene e informa si encuentra datos de otra persona, no retiene ni divulga esos datos y cumple con la ley aplicable, trataremos la investigación como está autorizada para el propósito de nuestra política y no emprenderemos acciones legales en su contra por la investigación en sí. Esto no constituye un permiso para probar sistemas o infraestructura de terceros fuera de nuestro control, utilizar ingeniería social o ataques físicos, ni exigir pagos.
Bríndenos una oportunidad razonable para investigar y remediar antes de la divulgación pública. Trabajaremos con usted en un cronograma de divulgación basado en la gravedad, los usuarios afectados, la disponibilidad de soluciones y las necesidades de implementación, y nuestro objetivo es mantenerlo informado en hitos significativos. Si cree que es necesaria una divulgación urgente, explique el riesgo a [email protected] para que podamos coordinarnos.
Elimine los datos de prueba y la evidencia confidencial cuando ya no sean necesarios. Si accede involuntariamente a datos personales, credenciales o contenido del cliente, deje de realizar pruebas, no los copie ni los comparta y díganos a qué accedió para que podamos responder adecuadamente.
La versión 2 entra en vigencia el 20 de agosto de 2026. Distingue la revisión de implementación de la certificación independiente y vincula el incidente contractual y los compromisos de seguridad en el DPA. La versión 1 entró en vigor el 16 de julio de 2026.