1. Principio de Seguridad por Diseño (Security by Design)
SipDolce Labs ha estructurado su plataforma conforme al estándar DCP Flow, aplicando el principio de reducción drástica de la superficie de ataque:
- Arquitectura estática sin base de datos pública: El 100% de las páginas públicas del sitio son archivos HTML, CSS y JS compilados estáticamente en Astro 7. No existe servidor de base de datos MySQL, PostgreSQL ni CMS dinámico expuesto a Internet para la navegación general.
- Companion backend PHP aislado: La recepción de formularios opera en un módulo de runtime desacoplado, sin privilegios administrativos sobre el servidor.
- Almacenamiento fuera del document root: La base de datos SQLite opera en modo WAL con aislamiento estricto del sistema de archivos, inaccesible por solicitudes HTTP directas desde el exterior.
2. Medidas Técnicas de Mitigación Implementadas
Para proteger la plataforma contra abusos automatizados e inyecciones de datos, se aplican las siguientes defensas técnicas:
2.1. Filtros antispam de doble factor sin fricción
- Campo trampa honeypot (`_sd_hp`): Oculto a la vista y lectura humana; si es completado por un bot indexador o scraper, la solicitud es rechazada de inmediato sin consumir procesamiento transaccional.
- Análisis de latencia temporal (`_sd_ts`): Comprobación de que la sumisión no se efectuó en un intervalo inferior al tiempo físico mínimo requerido por una persona para digitar los campos.
2.2. Idempotencia y control de colisiones
Cada petición puede incluir una clave UUID v7 única. El backend calcula un hash SHA-256 canónico del contenido para detectar reintentos idénticos por fallos de red y rechazar discrepancias de contenido con código HTTP 409 (Conflict).
2.3. Cabeceras HTTP de protección estricta
- `X-Content-Type-Options: nosniff` para mitigar ataques de confusión de tipo MIME.
- `X-Frame-Options: DENY` para prevenir clickjacking en marcos de terceros.
- `Referrer-Policy: strict-origin-when-cross-origin` para evitar fugas de trazabilidad.
- Cifrado TLS/HTTPS forzoso en tránsito en todas las comunicaciones.
2.4. Restricción y saneamiento de entradas
Límites rígidos de longitud en campos de texto (ej. máximo 4.000 caracteres en mensajes), filtrado estricto de direcciones de correo y rechazo automático de cargas útiles que superen los 64 KB.
3. Límites Reales y Prudencia Técnica
En observancia de los principios de transparencia de la ingeniería de software, SipDolce Labs no promete una seguridad absoluta ni invulnerabilidad total ante ataques dirigidos, denegaciones de servicio distribuido (DDoS) o fallos de infraestructura en capas de transporte de red ajenas a nuestro control.
Nuestro compromiso consiste en mantener prácticas vigiladas de defensa en profundidad, código minimalista auditable y respuesta pronta ante cualquier anomalía.
4. Política de Divulgación Responsable (Responsible Disclosure)
SipDolce Labs valora el aporte constructivo de la comunidad de seguridad informática y alienta la comunicación ética de cualquier vulnerabilidad o debilidad identificada en nuestra plataforma.
4.1. Compromisos del investigador ético
- Notificar el hallazgo de manera privada sin divulgarlo públicamente ni compartirlo con terceros antes de que sea subsanado.
- No acceder, alterar, sustraer ni destruir información personal o técnica de otros usuarios.
- No ejecutar pruebas de denegación de servicio (DoS/DDoS) ni ataques que afecten la disponibilidad del servicio para la comunidad.
4.2. Compromiso de SipDolce Labs
- Acusar recibo del reporte en un plazo razonable no superior a tres (3) días hábiles.
- Investigar con diligencia el vector reportado y aplicar las correcciones oportunas en los ciclos de mantenimiento técnico.
- No emprender acciones legales contra investigadores que hayan actuado de buena fe bajo estas pautas de divulgación coordinada.