Seguridad y privacidad

Medidas implementadas

• Conexión cifrada (HTTPS) en todo el sitio, con redirección obligatoria y HSTS (configurado para el alojamiento en Hostinger con certificado SSL).
• Encabezados de seguridad: una política de contenido (CSP) que solo permite scripts de nuestro propio dominio, protección contra la inserción del sitio en otras páginas, bloqueo de detección de tipos y una política de referencias restringida.
• Sin rastreadores: no usamos analítica, píxeles de publicidad ni scripts de terceros. Las fuentes y librerías se sirven desde nuestro dominio.
• Pagos: los datos de tarjeta se escriben solo en la pasarela. COMERTEC nunca los recibe ni los almacena.
• Precios verificados: el servidor recalcula precios y totales desde su propio catálogo. Un pedido solo se marca como pagado cuando la pasarela lo confirma con un aviso firmado, y cada aviso se procesa una sola vez.
• Validación en el servidor de todos los datos que recibimos, con consultas preparadas contra inyección de SQL.
• Protección contra abusos: límite de intentos por IP en pedidos, suscripciones y PQRS, verificación del origen de las solicitudes y tamaño máximo de los mensajes.
• Consultas privadas: cada pedido y cada PQRS tiene un código secreto que se guarda cifrado de forma irreversible, para que nadie pueda ver solicitudes ajenas.
• Secretos y datos fuera de la carpeta pública: las claves de la base de datos y de los servicios no están en el código del sitio.
• Registros sin datos personales: los registros técnicos no guardan correos, documentos, direcciones, códigos ni datos de pago.
• Cuentas: la cuenta es opcional (para comprar no se necesita). Las contraseñas se guardan con Argon2id, un cifrado irreversible; nunca en texto plano ni en registros. Exigimos al menos 10 caracteres y rechazamos contraseñas comunes, repetitivas o que ya aparecieron en filtraciones de otros sitios (se consulta Have I Been Pwned sin enviar la contraseña: solo 5 caracteres de su huella). Hay bloqueo temporal tras varios intentos fallidos, mensajes y tiempos de respuesta que no revelan si un correo tiene cuenta, activación por correo, recuperación con enlace de un solo uso y cierre de las demás sesiones al cambiar la contraseña. La sesión usa una cookie protegida (HttpOnly, SameSite y Secure) que se cierra por inactividad.

Cómo protegerte

• Verifica que la dirección del sitio sea la oficial y que el navegador muestre la conexión segura.
• Nuestro único WhatsApp es el +57 321 317 4612.
• Nunca te pediremos claves, CVV, códigos de tu banco ni el número completo de tu tarjeta por WhatsApp, correo o teléfono.
• Paga solo en la pasarela a la que te lleva la ventana de pago del sitio. No hagas pagos a cuentas personales que te envíen por mensaje.

Reportar un problema de seguridad

Si encuentras una vulnerabilidad, un fraude o un uso indebido de nuestra marca, escríbenos por WhatsApp o a [COMPLETAR DATO: correo de seguridad]. También puedes consultar el archivo security.txt. Si ocurre un incidente que afecte datos personales, lo informaremos a la Superintendencia de Industria y Comercio y a los titulares afectados, conforme a la ley.

Lo que aún está en preparación

El pago con tarjeta se activa cuando terminemos de conectar la pasarela. Mientras tanto, las compras se terminan con un asesor por WhatsApp y no se hace ningún cobro en línea.