Pruebas de seguridad realizadas internamente #

Estas son pruebas de primera parte. Las realiza el operador, no un evaluador independiente, y no sustituyen a la prueba de penetración externa independiente que consta en Trust. Se publican porque su contenido resulta útil para quien lo revisa, aun cuando falte la independencia.

Última actualización: 2026-10-18.

Pruebas realizadas #

Fecha	Tipo	Alcance	Resultado
2026-05-26	Evaluación de seguridad a nivel de código	Análisis estático, auditoría de dependencias y revisión manual de autenticación, autorización y tratamiento de archivos	El tratamiento de las cargas de archivos se identificó como el área de mayor riesgo. Hallazgos registrados en el gestor de incidencias y subsanados: límite de número de adjuntos en el servidor, autorización de las cargas directas y depuración de parámetros y direcciones IP en los registros
2026-05-26	Prueba externa en producción, no destructiva	Cabeceras de respuesta, configuración TLS, páginas públicas y sondeos de metadatos contra el host de producción	Lagunas en la cobertura de las cabeceras de respuesta y ausencia de metadatos de contacto de seguridad; la dependencia de CDN de terceros para recursos estáticos se evaluó como riesgo medio. Subsanado el 2026-05-27: metadatos de contacto de seguridad publicados y protección frente al sniffing de tipo de contenido extendida a los recursos estáticos
2026-06-09	Revisión de la autenticación	Tratamiento de cookies, ciclo de vida de la sesión, flujos de enlace mágico e invitación	Dos hallazgos de severidad informativa. Subsanados el 2026-06-14: la cookie de autenticación pendiente pasó a un almacén cifrado, de modo que la dirección no es legible en el cliente; la caducidad declarada de la cookie de sesión coincide ahora con el tiempo de inactividad de 14 días del servidor. Un hallazgo de severidad baja: las direcciones de los canales de denuncias se derivaban de identificadores secuenciales, por lo que podía enumerarse el conjunto de organizaciones clientes. Subsanado el 2026-08-12: cada canal de denuncias tiene una dirección privada aleatoria, y la página que se muestra para un canal de denuncias inactivo ya no nombra a la organización
2026-08-27	Prueba de caja gris autenticada	Acceso entre organizaciones, escalada de privilegios, asignación masiva, acceso a denuncias dentro de una misma organización, confidencialidad de los adjuntos, aislamiento SCIM y confianza en las aserciones SAML	No se encontraron defectos de autorización. Los límites de organización y de rol se mantuvieron en todos los casos probados
2026-08-27	Revisión de la exposición en producción	Exposición de red, endurecimiento del host, tratamiento de cabeceras de proxy y gestión de secretos	Las cabeceras de reenvío enviadas por el cliente se consideraban fiables en un origen expuesto directamente a internet, lo que habría permitido eludir los límites de tasa por IP. Corregido el mismo día. También se eliminó una cabecera que revelaba el tiempo de servidor por solicitud. La cabecera superada `Feature-Policy` se sustituyó por `Permissions-Policy` el 2026-09-05
2026-09-08	Revisión autenticada de la entrega de archivos y de la retención en el navegador	Descarga directa de exportaciones de datos y grabaciones de voz, acceso con URL de archivo conocidas entre organizaciones y tras la retirada de un miembro, botón Atrás del navegador tras cerrar la sesión	Tres hallazgos, cada uno de los cuales requería un usuario ya autorizado que dispusiera de una URL de archivo firmada, o un navegador compartido. Una exportación de datos caducada aún podía descargarse desde una URL conservada sin nueva autenticación. Un gestor podía descargar una grabación de voz original antes de que finalizara su anonimización. Tras revocarse una sesión, el botón Atrás del navegador podía volver a mostrar una denuncia desde su caché. Subsanados el 2026-09-10: la entrega de archivos aplica ahora las mismas reglas de caducidad, reautenticación y procesamiento que la página que enlaza a ellos, y el navegador ya no almacena las páginas sensibles ni los archivos privados. El acceso entre organizaciones y el de miembros retirados se denegó en todos los casos probados
2026-09-26	Revisión a nivel de código de la gestión de sesiones	Identificación de las sesiones y su comportamiento tras una restauración de la base de datos	Las sesiones se identificaban por su identificador en la base de datos. Una restauración hace retroceder los identificadores, por lo que un nuevo inicio de sesión podía recibir uno que una cookie superviviente aún conservaba y reanudar la sesión de ese usuario. Subsanado el mismo día: las sesiones se identifican mediante un token aleatorio, y se cerraron todas las sesiones existentes
2026-09-28	Revisión de los registros del canal de denuncias	Registros del lado de la aplicación generados mientras un informante utiliza el canal de denuncias	Dos componentes seguían registrando las direcciones IP de los informantes: el registro de solicitudes del servidor web y el aviso de la protección antispam. En ambos se eliminó el mismo día. El registro de solicitudes propio del proxy TLS, que anota la dirección IP de cada solicitud, no cambia y se describe en Security#ip-addresses
2026-10-16	Revisión a nivel de código frente a la investigación actual sobre ataques a Rails	Procesamiento de cargas, decodificación de imágenes, tratamiento de mensajes firmados, registros de solicitudes, mensajes en tiempo real almacenados, código de autorización generado	La eliminación de metadatos elegía su método según el tipo declarado por el navegador, por lo que una foto subida como archivo genérico conservaba sus metadatos de ubicación y de dispositivo. El decodificador SVG de la biblioteca de imágenes, bloqueado al arrancar, volvía a habilitarse para todo el proceso en cuanto se generaba una imagen de vista previa de enlace. Los mensajes firmados y cifrados seguían aceptando un formato de serialización que convierte la filtración de un secreto de la aplicación en ejecución de código. Los registros de solicitudes recogían los nombres de archivo de los adjuntos y tokens de descarga de corta duración. Las notificaciones en tiempo real, que contienen la referencia del caso de la denuncia, se almacenaban sin cifrar durante un día. La plantilla de las nuevas políticas de autorización omitía el filtro por organización; ninguna política existente se vio afectada. Todo subsanado el mismo día
2026-10-16	Comprobación forense en producción (CVE-2026-66066)	Inspección de solo lectura de todos los archivos almacenados antes de la corrección, en busca de cabeceras de imagen manipuladas, imágenes cuyos píxeles se decodifican como archivos del servidor y metadatos identificativos residuales	Ningún indicio de explotación en los datos conservados, y ninguna imagen de denuncia que aún contenga metadatos identificativos. Los archivos que podrían haberse subido por la vía de carga directa expuesta, abierta del 2026-04-13 al 2026-05-12, fueron eliminados por la limpieza diaria de archivos no vinculados y ya no pueden examinarse
2026-10-17	Revisión de la exposición en producción	Registro de solicitudes del proxy inverso, límites de tamaño de las solicitudes, análisis de vulnerabilidades de la imagen de contenedor	El proxy inverso registra la ruta de cada solicitud, y las rutas de descarga de adjuntos incluían el nombre del archivo. Los cuerpos de solicitud de hasta 1 GB se almacenaban en búfer en disco antes de que la aplicación los validara. La imagen de contenedor se analizaba mensualmente en busca de vulnerabilidades del sistema operativo, frente a un compromiso de 7 días para las correcciones críticas. Subsanado el mismo día: ninguno de los dos pasos de la descarga de un adjunto incluye el nombre del archivo en su ruta, los cuerpos de solicitud se limitan justo por encima de la mayor denuncia legítima, y la imagen se analiza semanalmente
2026-10-17	Pruebas de mutación de las reglas de autorización	Las políticas de acceso a denuncias, documentos de denuncias y canales de denuncias, con cada regla alterada deliberadamente para confirmar que el conjunto de pruebas detecta el cambio	Se detectaron todas las alteraciones de esas políticas. No se encontraron defectos de autorización
2026-10-18	Revisión del código previa a la evaluación independiente	Campos de carga y acceso a archivos, eliminación de metadatos, bloqueo hasta el análisis antivirus, roles en los expedientes, administración de la plataforma, registro de la autenticación, notificación de errores, contraseñas de los informantes	Diez hallazgos. Nueve corregidos el mismo día: un campo de carga aceptaba el identificador de un archivo ya almacenado, de modo que un usuario podía adjuntar un archivo que no había subido y después abrirlo (los enlaces a archivos ahora también caducan al cabo de una hora); tras eliminar los metadatos de un PDF, el autor original seguía siendo recuperable desde una revisión anterior del archivo; la exportación de datos incluía archivos que no habían superado el análisis antivirus, y un archivo cuyo análisis nunca se programó se servía sin analizar; un Observador asignado a un expediente podía actuar sobre él; el panel de administración de la plataforma no exigía un segundo factor; los códigos de inicio de sesión de un solo uso y las aserciones SAML llegaban al servicio de monitorización de errores; los inicios de sesión fallidos, las consultas de expedientes fallidas y los límites de solicitudes alcanzados no dejaban rastro; los informantes elegían su propia contraseña de seis dígitos, por lo que se aceptaba una elección común como 123456 (las comunicaciones nuevas reciben una contraseña de 16 dígitos generada por el sistema; las presentadas antes conservan la suya, véase Hallazgos abiertos conocidos). Una comprobación de solo lectura en producción no encontró ningún PDF de comunicación almacenado ni ninguna cuenta de Observador, por lo que ninguno de esos dos problemas afectó a un expediente. El restante figura en los hallazgos abiertos conocidos

Hallazgos abiertos conocidos #

Hallazgo	Posición
No hay cortafuegos de aplicaciones web ni CDN delante del origen de la aplicación	Decisión deliberada. El alojamiento directo de la aplicación y de los archivos está en la UE, mientras que la cadena de correo electrónico y telemetría puede implicar tratamientos posteriores fuera del EEE. La protección frente a DDoS a nivel de red del proveedor de alojamiento, junto con la limitación de tasa en la aplicación, es el equilibrio actual.
Las fotos de perfil del personal se almacenan con sus metadatos originales	Deliberado. La eliminación de metadatos protege a los informantes y sus pruebas. Una foto de perfil la elige y la sube la persona que aparece en ella.
Las comunicaciones presentadas antes del 18 de octubre de 2026 conservan la contraseña de 6 dígitos elegida al presentarlas, por el informante o, en una comunicación registrada por el personal, por el gestor del caso	Aceptado. Estas contraseñas siguen funcionando y no se sustituyen. El inicio de sesión permite 10 intentos de contraseña por referencia del caso cada 10 minutos, desde cualquier IP.

Qué no acredita esto #

El operador eligió el alcance, ejecutó las pruebas y comunicó los resultados. Nada de esto ha sido verificado de forma independiente.
Una ronda sin hallazgos es evidencia sobre los casos probados, no sobre los que no se probaron.
El control A.5.35 de la autoevaluación de la ISO/IEC 27001:2022, la revisión independiente de la seguridad de la información, sigue abierto por este motivo. Es el único control del Anexo A de esa página registrado como en tratamiento, y la misma limitación mantiene el capítulo 9.2 (auditoría interna) como parcial; véase el registro de auditoría interna.

Última actualización: 8 de noviembre de 2026