Seguridad

1. Alojamiento y cifrado

QR Wait funciona en la red de Cloudflare (Workers y Durable Objects) y guarda allí sus datos. Todas las conexiones van cifradas con HTTPS (TLS), y se indica a los navegadores que usen solo HTTPS en qrwait.app y todos sus subdominios (HSTS, un año).

Las páginas llevan una política de seguridad de contenido (CSP) estricta: los scripts solo se cargan desde QR Wait y Cloudflare, y ningún otro sitio puede mostrar QR Wait dentro de un marco.

Cloudflare declara que cuenta con validaciones ISO/IEC 27001, ISO/IEC 27701 e ISO/IEC 27018 (Cloudflare Trust Hub). Son de Cloudflare; QR Wait no tiene ninguna certificación propia.

2. Cuentas e inicio de sesión

• Las contraseñas se guardan solo como hash PBKDF2-SHA-256 con sal. Se rechaza una contraseña nueva que aparezca en filtraciones de datos conocidas; para esa comprobación solo salen de QR Wait los 5 primeros caracteres de su hash SHA-1 (k-anonimato).
• Verificación en dos pasos con una app de autenticación (TOTP) y códigos de recuperación de un solo uso. Los propietarios ven qué miembros del equipo la han activado.
• Los miembros del equipo tienen un rol (propietario, responsable o encargado) y, si está limitado, solo abren las filas que se les asignaron.
• Tras 5 intentos fallidos de inicio de sesión en una cuenta en 24 horas, entrar requiere además una verificación anti-bots (Cloudflare Turnstile).
• Se envía un correo cuando se inicia sesión en la cuenta desde un navegador nuevo.
• Una sesión termina tras 14 días sin uso; cambiar la contraseña o «Cerrar sesión en otros dispositivos» cierra todas las demás.
• Los enlaces de verificación, de restablecimiento de contraseña y de invitación son de un solo uso, y solo se guardan sus hashes.

3. Límites de peticiones

Las peticiones se limitan por dirección IP en el borde de Cloudflare: iniciar sesión, registrarse y restablecer la contraseña, 10 por minuto; unirse a una fila, 60 por minuto; la API REST, 120 por minuto por clave y 120 por minuto por dirección IP.

4. Datos de los visitantes

• Nunca se pide a los visitantes un número de teléfono ni un correo electrónico. Solo se pide un nombre si el negocio lo activa para la fila.
• Un ticket, con el nombre y las respuestas del formulario que contenga, se borra como máximo 24 horas después de unirse, sea cual sea la configuración de la fila.
• No se guarda ninguna ubicación. Cuando una fila comprueba la ubicación, con el ticket solo se guardan la distancia a la fila y cuándo se midió.
• El código QR de la pantalla del encargado cambia cada 15 a 75 segundos y cada código sirve de 1 a 5 minutos, así que una foto compartida en otro sitio no deja entrar a nadie.
• Lo que hacen los encargados en el panel queda registrado 30 días; los enlaces de encargado se pueden retirar en cualquier momento.

5. Copias de seguridad

Lo que no se puede reconstruir (cuentas, configuración de las filas, saldos de tickets) se exporta cada día a Cloudflare R2 y se cifra antes de escribirlo: cada parte con su propia clave AES-256-GCM, que a su vez se cifra con una clave pública (RSA-OAEP). La clave privada que las abre se guarda fuera de línea. Las exportaciones se conservan 35 días.

Los tickets nunca están en una copia de seguridad: contienen nombres de visitantes y duran como mucho un día.

6. Integraciones

• Los webhooks se firman con un secreto que se muestra una sola vez (HMAC-SHA256 con marca de tiempo) y solo van a direcciones https públicas. Solo llevan números y horas, salvo que el negocio permita nombres para una dirección.
• Las claves de API se muestran una vez y se guardan solo como hash SHA-256. Una clave solo lee o también escribe, y se puede revocar en cualquier momento.
• Detalles para desarrolladores: la referencia de la API y los webhooks (en inglés).

7. Subencargados

Estas empresas tratan datos por cuenta de QR Wait para prestar el servicio:

Las notificaciones del navegador pasan por el servicio push del propio navegador del visitante. Cómo salen los datos de Turquía y de la UE se explica en la política de privacidad.

8. Informar de una vulnerabilidad

Escriba a hello@qrwait.app con el asunto «Security». Confirmamos la recepción en 3 días laborables y enviamos una primera valoración en 10 días laborables. No haga público el problema hasta que esté resuelto y pruebe solo con sus propias cuentas y filas.

No emprenderemos acciones legales contra investigaciones que sigan estas normas de buena fe. No hay programa de recompensas pagado. El mismo contacto, legible por máquinas: security.txt.