Seguridad y protección de datos

Arquitectura

andarama.com funciona sobre Cloudflare: un Worker sirve la API, el Studio y los recorridos; la base de datos es D1 (SQLite gestionado); los medios y las teselas se guardan en R2 (almacenamiento de objetos); KV guarda datos técnicos de corta duración y los Durable Objects coordinan la edición en tiempo real y las visitas en directo. Las cuentas, el inicio de sesión y el cobro los lleva Clerk. La analítica de visitas es propia y sin cookies, y la del sitio web la hace Plausible.

Dónde están los datos

• Base de datos (D1) y medios (R2): en centros de datos de Cloudflare en Europa occidental. Es la ubicación elegida al crearlos; estamos trabajando para fijarla también por jurisdicción de la Unión Europea.
• Ejecución: el código corre en la red de Cloudflare, en el centro de datos más cercano a quien visita.
• KV: datos técnicos efímeros (sesiones de lectura, punteros de publicación) replicados en toda la red.
• Cuentas y cobro: en Clerk, en Estados Unidos (correo, nombre, sesión y datos de facturación). Los recorridos y los medios no pasan por Clerk.
• Analítica del sitio: Plausible, en la Unión Europea, sin cookies ni direcciones IP.

Si la institución necesita que todo quede en su casa, la misma aplicación se instala en su propia infraestructura (ver más abajo).

Cifrado

Todo el tráfico va por HTTPS con TLS y HSTS. Cloudflare cifra en reposo la base de datos D1 y los objetos de R2. Las contraseñas y los secretos del servicio nunca se guardan en claro, y los tokens de API se guardan como huella (hash).

Acceso y autenticación

En andarama.com el acceso lo gestiona Clerk, con verificación en dos pasos disponible. Dentro de la aplicación, las organizaciones tienen roles (administra, edita, colabora, lee) y los permisos se comprueban en el servidor en cada ruta. En una instalación propia hay además cuentas locales con verificación en dos pasos (TOTP) y SSO institucional por OIDC.

Protección de la aplicación

Política de seguridad de contenidos (CSP) con nonces, protección CSRF de doble token, límites de peticiones, Turnstile contra el abuso en formularios, saneado de SVG, Markdown y CSS, y un registro de auditoría de las acciones de administración. La integración continua pasa las pruebas y la auditoría de dependencias en cada cambio.

Copias de seguridad

D1 permite recuperar la base de datos a un punto en el tiempo (Time Travel) durante el periodo que ofrece Cloudflare, y el panel de administración exporta una copia completa de la base de datos. Los medios de R2 no tienen versiones automáticas: por eso recomendamos conservar los originales de las fotografías y exportar los recorridos importantes.

Código auditable

El código completo está publicado bajo EUPL-1.2 en GitHub: cualquiera puede revisar cómo se tratan los datos. Las vulnerabilidades se comunican de forma privada según el fichero SECURITY.md del repositorio. Más en la página de código abierto.

Plan de salida

Nada de lo que se crea queda atrapado. Los recorridos se exportan en cualquier momento como ZIP estático, HTML único o PWA, que funcionan sin Andarama, y como fichero .andarama. El formato tour.json está documentado. Y la misma aplicación se puede instalar en la infraestructura de la institución (Docker, su cuenta de Cloudflare o un ejecutable de escritorio), así que el día que se deje de contratar el servicio alojado, el trabajo sigue.

Lo que no tenemos (todavía)

Andarama no tiene una certificación propia del Esquema Nacional de Seguridad (ENS) ni ISO 27001. Cloudflare y Clerk tienen sus propias certificaciones como proveedores. Si la institución exige ENS, la instalación propia en su infraestructura queda bajo su ENS. Bajo petición preparamos el encargo de tratamiento (artículo 28 del RGPD) y una ficha técnica con esta información.