Comunicaciones
topQR se sirve mediante HTTPS. La configuración de producción rechaza una URL de autenticación que no utilice HTTPS y el correo transaccional exige transporte TLS.
Acceso
Las contraseñas se almacenan mediante hash, nunca como texto recuperable. El registro público está cerrado, hay limitación de intentos y los enlaces de invitación caducan, son revocables y solo se pueden usar una vez.
Separación por empresa
Cada operación privada comprueba la sesión, el origen y la pertenencia al espacio. Los borradores y archivos no publicados no se sirven a personas ajenas al equipo autorizado.
Minimización
Las estadísticas QR no almacenan IP, geolocalización ni huella persistente. Respetan las señales DNT y GPC y excluyen al equipo autenticado y a bots conocidos.
Borrado y auditoría
El borrado de un QR exige confirmación reforzada, elimina sus versiones y estadísticas y deja un registro de auditoría sin copiar el contenido personal eliminado.
Copias y continuidad
Las copias consistentes de la base se almacenan fuera del directorio público y se cifran además con age. El servidor conserva únicamente el destinatario público de backup; la identidad privada necesaria para recuperar una copia se mantiene fuera de Plesk.
Estado del cifrado en reposo
El tráfico está cifrado mediante HTTPS y las contraseñas se protegen con hash. Desde el 23 de septiembre de 2026, la base de datos completa utiliza cifrado SQLCipher AES-256 en reposo, incluidos cuentas, sesiones, tarjetas, imágenes y analítica. Verificamos la migración comparando esquema y registros, rechazando una clave incorrecta y restaurando una copia cifrada en un entorno aislado.
Comunicar una incidencia
Si crees haber encontrado un problema de seguridad, escribe a hola@topqr.es con una descripción y los pasos para reproducirlo. No accedas a datos ajenos ni realices pruebas destructivas.