1Cómo protegemos tu cuenta
- Tu contraseña no la conocemos. Firebase Authentication la guarda con un hash irreversible. Ni nosotros podemos verla.
- Contraseñas fuertes de verdad: mínimo 10 caracteres, sin contraseñas comunes, sin tu nombre o correo dentro, y con un medidor que te guía.
- Aviso de contraseñas filtradas: antes de aceptar una contraseña nueva, comprobamos si apareció en filtraciones públicas usando el método de «k-anonimato»: tu contraseña jamás sale de tu dispositivo, solo se envían 5 caracteres de su huella.
- Freno a los intentos repetidos: tras varios errores seguidos, el inicio de sesión se pausa unos minutos, además del límite propio de Firebase.
- No revelamos si un correo existe: los mensajes de error y de recuperación son iguales para cuentas que existen y que no, para que nadie pueda «descubrir» quién usa Felix.
- Inicio sin contraseña opcional: puedes entrar con un enlace seguro enviado a tu correo, o con tu cuenta de Google (con su verificación en dos pasos si la tienes activa).
- Redirecciones seguras: los enlaces de correo solo te llevan a páginas de Felix.
2Cómo protegemos la información de tu negocio
- Aislamiento total: las reglas de la base de datos solo permiten a cada persona leer y escribir su información. No existe ninguna lectura pública.
- Cifrado en tránsito (TLS con HSTS) y en reposo (infraestructura de Google Cloud).
- Validación en el servidor: las operaciones críticas (como mover inventario) se verifican en el servidor, no solo en tu navegador.
- Prueba de tu autorización a prueba de manipulación: el registro de aceptación de términos lo escribe únicamente el servidor.
- Tú mandas: puedes exportar tus datos y eliminar tu cuenta y toda tu información desde Ajustes.
3Cómo protegemos la aplicación
- Política de Seguridad de Contenido (CSP) y cabeceras modernas: bloquean la carga de código no autorizado, impiden que otro sitio incruste Felix (protección contra clickjacking) y limitan a dónde puede conectarse la app.
- Sin dependencias externas de código: las librerías que usa Felix (gráficos, íconos, PDF) se sirven desde nuestro propio dominio con versión fija. Si una red de distribución de terceros fuera comprometida, Felix no se vería afectado.
- Textos escapados: lo que escribes se muestra como texto, nunca como código.
- Permisos mínimos: Felix desactiva por política el acceso a cámara, micrófono, ubicación y pagos del navegador, porque no los necesita.
4Qué puedes hacer tú
Tu lista de 5 minutos:
- Usa una contraseña única para Felix (mejor con un gestor de contraseñas). Una frase larga es más segura que una palabra con símbolos.
- Si entras con Google, activa la verificación en dos pasos en tu cuenta de Google.
- Verifica tu correo: es el canal para recuperar tu cuenta.
- No compartas tu cuenta. Cierra sesión en equipos públicos o compartidos.
- Desconfía de mensajes que te pidan tu contraseña: Felix nunca te la pedirá por correo, chat ni teléfono.
- Exporta una copia de respaldo de vez en cuando (Ajustes → Datos y respaldo).
5Transparencia sobre lo que aún no tenemos
Preferimos ser honestos: hoy no ofrecemos verificación en dos pasos propia para las cuentas de correo y contraseña (sí puedes usar la de Google). Es una mejora que estamos evaluando. Ningún sistema es 100% infalible; por eso combinamos varias capas de protección.
6Divulgación responsable de vulnerabilidades
Si encontraste una falla de seguridad en Felix, gracias por avisarnos. Escríbenos a con el detalle para reproducirla.
- Investiga solo con tus propias cuentas y datos. No accedas, modifiques ni descargues información de otras personas.
- No hagas ataques de denegación de servicio, ingeniería social, ni pruebas físicas.
- Danos un plazo razonable para corregir antes de hacerlo público.
- Confirmaremos la recepción, te mantendremos informado y, si lo deseas, reconoceremos tu aporte.
Si actúas de buena fe y dentro de estas reglas, no iniciaremos acciones legales por tu investigación. Ten presente que el acceso no autorizado a sistemas informáticos es un delito en Colombia (Ley 1273 de 2009).
También puedes consultar nuestro archivo security.txt.
7Si algo sale mal
Si detectamos un incidente que afecte datos personales, lo contenemos, te avisamos si te afecta y lo reportamos a la Superintendencia de Industria y Comercio dentro de los términos legales, como lo explica la Política de Privacidad.