Seguridad
Seguridad, explicada sin rodeos
Lo que hacemos hoy, sin insignias que no nos hemos ganado. No afirmamos tener certificación SOC 2 ni ISO 27001. Si necesitas que respondamos un cuestionario de seguridad, escríbenos.
Infraestructura
El email se entrega con Amazon SES en AWS eu-central-1 (Fráncfort). La aplicación, los workers y la base de datos se ejecutan en Railway, en su región de la UE (Ámsterdam, Países Bajos). Cada equipo envía a través de su propio tenant de SES, así que los problemas de reputación de un cliente no afectan a los demás. SpacePost usa sus propios conjuntos de configuración de SES y un usuario de IAM dedicado, limitado a los recursos de SES, SQS y SNS de SpacePost.
Cifrado en tránsito
La API, el panel y el relay SMTP exigen TLS. Las peticiones HTTP sin cifrar se redirigen o se rechazan, y el relay SMTP (puerto 25976) exige STARTTLS antes de autenticarse.
Cifrado en reposo
Los volúmenes de nuestra base de datos y las copias de seguridad están cifrados en reposo por el proveedor de alojamiento, y los datos de mensajes guardados en Amazon SES los cifra AWS.
Claves de API
Las claves (sp_live_...) se muestran una sola vez al crearlas. Solo guardamos un hash SHA-256, así que no podemos mostrar ni recuperar una clave después. Las claves pueden limitarse solo a envío y a un único dominio, y se pueden revocar al instante.
Firma de webhooks
Cada webhook se firma con un secreto por endpoint usando el esquema Standard Webhooks (webhook-id, webhook-timestamp, webhook-signature), para que puedas rechazar peticiones falsificadas y repetidas.
Control de acceso
Todos los datos pertenecen a un equipo y se comprueban en cada petición. El inicio de sesión del panel admite email y contraseña, enlaces mágicos y GitHub. El acceso de nuestro propio personal a datos de producción se limita a lo necesario para soporte y gestión de abusos.
Controles de abuso
Los equipos nuevos están en sandbox con 100 emails al día durante 7 días. Los equipos se pausan automáticamente con tasas altas de rebote o quejas, y cada destinatario se comprueba contra tu lista de supresión antes de enviar.
Retención de datos
Los registros de email se conservan 30 días en Free, 30 en Pro y 60 en Scale, y luego un trabajo programado los elimina. Las entradas de supresión y los datos de la cuenta se conservan mientras tu cuenta esté activa. Consulta la Política de privacidad para eliminación y exportación.
Subencargados
Los terceros que tratan datos de clientes por encargo nuestro figuran en una lista pública, con su finalidad y ubicación.
Ver subencargados(inglés)Divulgación responsable
¿Has encontrado una vulnerabilidad? Escribe a security@spacepost.dev con los pasos para reproducirla.
- Confirmamos los reportes en tres días laborables y te mantenemos al tanto hasta que se corrija.
- Por favor, no accedas a datos de otros clientes, no degrades el servicio, no envíes spam a través de nuestra infraestructura ni publiques detalles antes de que lo hayamos corregido.
- No emprenderemos acciones legales contra investigaciones de buena fe que sigan estas reglas. Todavía no tenemos un programa de recompensas.
Incidentes del servicio: página de estado.