Políticas
Política de seguridad
Classia prioriza la seguridad de la información, los accesos y las operaciones dentro de la plataforma.
Objetivo
Proteger la confidencialidad, integridad y disponibilidad de los datos de usuarios, proveedores y administradores, además de asegurar el funcionamiento adecuado de los servicios ofrecidos por la plataforma.
Principios
- Uso de contraseñas cifradas con hash seguro.
- Control de acceso por roles y permisos.
- Protección de sesiones y cookies.
- Validación de entradas y prevención de vulnerabilidades comunes.
- Monitoreo y respuesta ante incidentes.
Estándares y controles técnicos
El desarrollo toma como referencia OWASP Top 10 y OWASP ASVS para autenticación, sesiones, validación de entradas, control de acceso y protección de datos. También se aplican prácticas de CIS Controls v8, NIST CSF e ISO/IEC 27001:2022 como marcos de gestión y mejora, sin afirmar una certificación formal.
- Consultas PDO preparadas, escape contextual en HTML y validaciones de servidor.
- Tokens CSRF generados con
random_bytesy comparados conhash_equals. - Contraseñas almacenadas con
password_hash, regeneración de ID al autenticar y cookies HttpOnly/SameSite. - RBAC para separar estudiantes, docentes y administradores, con comprobaciones en backend.
- Revisión automatizada mediante Gitleaks, Semgrep, npm audit y Lighthouse CI en el pipeline.
Marcos de referencia
| Marco | Aplicación en Classia | Alcance |
|---|---|---|
| CIS Controls v8 | Inventario de activos, protección de datos, gestión de cuentas, configuración segura y seguridad del software. | Buenas prácticas operativas y técnicas. |
| NIST CSF | Identificar riesgos, proteger accesos y datos, detectar eventos, responder incidentes y recuperar el servicio. | Organización del ciclo de gestión de riesgos. |
| OWASP Top 10 / ASVS | Validación de entrada, consultas preparadas, sesiones, CSRF, control de acceso, autenticación y manejo de errores. | Seguridad de la aplicación web. |
| ISO/IEC 27001:2022 | Referencia para políticas, responsabilidades, gestión de riesgos, control de accesos, proveedores y mejora continua. | Gobernanza y sistema de gestión de seguridad. |
Estos marcos orientan el diseño y la revisión del proyecto; su mención no significa que Classia o AniTech posean una certificación formal, auditoría de conformidad o acreditación externa.
Pagos y PCI DSS
El flujo actual de pagos es una simulación educativa. Classia no debe recibir ni almacenar números completos de tarjetas, códigos CVV, claves privadas ni credenciales de proveedores. Para una puesta en producción, el pago debe delegarse a una pasarela certificada, usar tokens del proveedor, verificar webhooks firmados y limitar el alcance de cumplimiento a las responsabilidades reales de cada parte según PCI DSS.
DevSecOps y CI/CD seguro
La seguridad se integra en el ciclo de desarrollo: revisión por pull request, ramas protegidas, mínimo privilegio en workflows y validaciones automáticas antes de integrar cambios.
- Gitleaks: detección de secretos en commits y pull requests.
- npm audit: revisión de dependencias con vulnerabilidades conocidas.
- Semgrep: análisis SAST con reglas OWASP, JavaScript y secretos.
- Lighthouse CI y scripts de seguridad: controles de accesibilidad, rendimiento y cabeceras.
- Trazabilidad: cambios revisables, resultados de CI y separación entre configuración local y código versionado.
Los workflows deben usar acciones fijadas a versiones confiables, permisos mínimos, secretos almacenados en GitHub Secrets y revisión de logs para evitar exposición de información sensible.
Autenticación reforzada
Classia prevé incorporar autenticación en dos pasos mediante códigos de un solo uso enviados al correo o celular verificado. El acceso con Google es autenticación federada y no se considera, por sí solo, un segundo factor. Hasta habilitar el desafío adicional, no se presenta como una protección ya disponible.
Responsabilidad del usuario
Cada usuario es responsable de mantener la confidencialidad de sus credenciales, no compartir su contraseña y utilizar la plataforma con un criterio de cuidado, especialmente en entornos compartidos o públicos.
Reportes
Si detectás un problema de seguridad, comunicalo por Contacto o mediante el canal de reporte responsable especificado en la documentación del proyecto.