Seguridad y privacidad
Seguridad y privacidad: tus claves y tus datos se quedan en tu equipo
CLAQON es software autoalojado: se instala en tu equipo o en un servidor a tu nombre y habla directamente con tus proveedores y tus redes. Aquí tienes cómo cuida la seguridad y la privacidad de tus claves, tu panel y tus datos, qué límites tiene y qué datos podría tratar CLAQON como empresa.
- Secretos cifrados con AES-256-GCM
- Guardia CSRF y CSP en modo bloqueo
- Red saliente sin direcciones privadas
Qué resuelve
Tus datos y tus vídeos, en tu equipo
Cuentas, claves, guiones, vídeos y registros se guardan en tu equipo o en tu servidor. CLAQON no necesita una nube propia para funcionar: llama directamente al modelo de IA, a la voz, a los clips de archivo y a las redes que configuras, con tus claves.
Cada proveedor recibe lo que necesita para su parte del trabajo: el modelo de IA, el texto del guion; YouTube, el vídeo. Para Instagram y Facebook, el vídeo terminado pasa por tu Google Drive con un enlace compartido. Cada servicio lo trata según sus propias condiciones; por eso decides tú a quién conectas.
Cómo funciona
Cómo protege CLAQON tus claves
- Secretos cifrados en reposo
- Las credenciales de las cuentas y los depósitos de claves se cifran con AES-256-GCM, con un nonce propio para cada secreto y atados a su cuenta y a su campo.
- Conexiones y aplicaciones OAuth
- También se guardan cifradas. Las credenciales descifradas nunca vuelven al navegador.
- Token de Telegram
- Se guarda cifrado; si no hay clave de cifrado, no se guarda.
- Secreto de cada webhook
- Se guarda cifrado y se enseña una sola vez, al crearlo.
Acceso al panel
Quién puede abrir tu panel y qué comprueba
- Usuario y contraseña
- Para entrar desde fuera del equipo. Sin contraseña configurada, el panel sólo atiende a quien está delante del equipo, sin túnel ni proxy.
- Bloqueo por intentos
- 10 credenciales erróneas seguidas desde una IP la bloquean 10 minutos.
- Cambio de contraseña
- Desde el propio panel, de 12 a 128 caracteres y sin reiniciar.
- Guardia CSRF
- Toda escritura comprueba el origen de la petición y que llegue al nombre de tu instalación, exige cuerpo JSON y, en las acciones sensibles, una cabecera de operación.
- Cabeceras de seguridad
- Política de seguridad de contenidos (CSP) en modo bloqueo, prohibición de incrustar el panel en otras páginas, nosniff, Referrer-Policy, Permissions-Policy y HSTS.
- OAuth con state
- Cada conexión por OAuth usa un parámetro state ligado a su red.
Capacidades
Red saliente, contenedores, copias y actualizaciones
- Red saliente segura
- Las descargas y las llamadas a direcciones que escribes tú resuelven el nombre, rechazan direcciones privadas, fijan la IP resuelta, revalidan cada redirección y acotan tamaño y tiempo. La usan las fuentes propias, el modelo personalizado, Tinta, los webhooks y las tendencias.
- Contenedores endurecidos
- Servicios internos sólo en 127.0.0.1 e imágenes fijadas por su huella. El motor exige token y corre sin root, sin capacidades extra, sin escalar privilegios y con límites de memoria, CPU y procesos.
- FFmpeg sin red
- FFmpeg no puede abrir protocolos de red desde archivos locales.
- Instalador que verifica
- Lee el paquete por partes, rechaza enlaces y rutas fuera de su carpeta y comprueba el SHA-256 de cada archivo.
- Copias cifradas
- Por defecto, con AES-256-GCM y una clave derivada de tu contraseña con scrypt.
- Actualizaciones firmadas Beta
- Firma Ed25519, SHA-256 por archivo y vuelta atrás si algo falla antes del punto de no retorno.
Lo que no afirmamos
Límites que conviene conocer
- No todo va cifrado: sin la clave de cifrado los secretos quedan en claro, la copia en claro es opcional y el punto de seguridad previo a una restauración se guarda sin cifrar.
- No anunciamos certificaciones de seguridad ni auditorías externas: esta página describe lo que hace el código.
- La seguridad del sistema operativo, de tu red y del acceso físico al equipo depende de ti.
- Para conectar la mayoría de redes necesitas un dominio con HTTPS, normalmente con un túnel. Sin contraseña, el panel rechaza lo que llega por él.
- Hay un único usuario por instalación, sin roles.
Privacidad
Qué datos podría tratar CLAQON como empresa
El contenido de tu instalación —cuentas, claves, vídeos, métricas— no pasa por CLAQON. Como empresa, sólo podríamos tratar estos datos:
- Los que nos envías en los formularios de esta web, como el de acceso anticipado, según la política de privacidad.
- Si tu instalación usa licencia, su comprobación periódica envía el identificador y el token de la instalación, la versión, si está produciendo, el número de cuentas, las fechas de la última copia y la última actualización, el sistema operativo, el tipo de instalación y el perfil que indicas en el primer arranque (nombre comercial, empresa y contacto). Nunca las credenciales de tus servicios ni tus contenidos.
- Si necesitas soporte remoto con acceso a tu instalación, ese acceso sólo se hace bajo un contrato de encargado del tratamiento.
Divulgación responsable
Cómo informar de una vulnerabilidad
Si encuentras un fallo de seguridad en CLAQON o en esta web, escríbenos antes de hacerlo público. La política de divulgación de vulnerabilidades explica cómo hacerlo, y el archivo security.txt de esta web apunta al mismo canal.
Preguntas frecuentes
Preguntas sobre seguridad y privacidad
¿CLAQON ve mis claves o mis vídeos?
No. Se quedan en tu equipo o en tu servidor, y CLAQON no necesita una nube propia para funcionar. Sólo habría acceso si nos pidieras soporte remoto, y siempre bajo un contrato de encargado del tratamiento.
¿Está todo cifrado?
No todo, y preferimos decirlo. Los secretos de cuentas y claves se cifran en reposo si la instalación tiene su clave de cifrado, que las instalaciones limpias generan solas. Las copias van cifradas por defecto, salvo la copia en claro, si la eliges, y el punto de seguridad previo a una restauración.
¿Qué pasa si alguien intenta adivinar la contraseña del panel?
Tras 10 credenciales erróneas seguidas, esa IP queda bloqueada 10 minutos. Y sin contraseña configurada, el panel no atiende ninguna conexión que no venga del propio equipo.
¿Puedo abrir el panel desde fuera de casa?
Sí, publicándolo en un dominio con HTTPS, por ejemplo con un túnel, y siempre con usuario y contraseña. Cada escritura pasa además la guardia CSRF, que comprueba el origen y el nombre de la instalación.
¿Tiene certificaciones de seguridad?
No anunciamos certificaciones ni auditorías externas. Lo que describe esta página es lo que hace el código del producto, con sus límites. Si encuentras un fallo, sigue la política de divulgación de vulnerabilidades.
Acceso anticipado
Resuelve tus dudas de seguridad antes de instalar
Si tu empresa tiene requisitos de seguridad o de protección de datos, cuéntanoslos al solicitar el acceso. Te diremos qué cubre hoy CLAQON y qué no.