Seguridad

Share Auth guarda secretos que abren cuentas. Esta página describe cómo se protegen en cada etapa, y dónde termina lo que la herramienta puede garantizar.

Las semillas siguen cifradas

Una semilla TOTP se cifra con AES-256 antes de guardarse, con una clave propia de la aplicación que no está en la base de datos. Solo se descifra en el momento de calcular un código, en memoria, y nunca la devuelven la API, la extensión de navegador ni el conector MCP: solo reciben el código actual.

Cada equipo está aislado

Un secreto pertenece a un equipo. Cada petición comprueba que forma parte del equipo activo de la persona y, después, que su rol autoriza la acción pedida:

• lector: consultar y copiar los códigos, sin ver la semilla;
• editor: añadir y modificar secretos, y ver su semilla;
• administrador: todo lo anterior, más la eliminación y la facturación;
• propietario: todos los derechos, incluidos los miembros, la facturación y el registro de accesos.

A esto se suman los límites de tu plan, que nunca borran nada.

Cada código entregado queda registrado

El registro de accesos anota quién obtuvo qué código, cuándo y por qué canal: sitio, API, Slack, Discord o Microsoft Teams, con la dirección IP para el sitio y la API. Está reservado al propietario. Las consultas repetidas de un mismo secreto por la misma persona se agrupan en intervalos de cinco minutos, para que una página abierta no ahogue el historial.

Los bots de mensajería

Cada llamada de un bot se autentica con la firma de la plataforma (Slack, Discord o Microsoft Teams), y el número de comandos por persona está limitado. Solo el propietario puede crear una integración, y puede desactivarla en cualquier momento.

Una integración abre el acceso a todo el espacio de trabajo conectado: la plataforma demuestra de dónde viene el comando, no qué cuenta de Share Auth lo lanza, así que los roles del equipo no se aplican. Las restricciones por canal limitan los secretos que puede obtener cada canal. Cada código entregado por un bot figura en el registro, con el nombre declarado por la plataforma.

Las cuentas están protegidas

• Autenticación en dos pasos de tu cuenta de Share Auth con una aplicación TOTP, con códigos de recuperación.
• Sin aplicación de autenticación, cada navegador nuevo debe confirmarse por correo electrónico, con un enlace o un código. Un navegador confirmado se reconoce durante 30 días.
• Se vuelve a pedir la contraseña antes de conectar un dispositivo nuevo, como la extensión de navegador.

Los tokens de API tienen límites

Un token lleva los permisos elegidos al crearlo, y ninguno más: un token que lista y lee códigos no puede modificar nada. Dura 1, 7, 30 o 90 días, se revoca desde tu perfil, y la API limita a cada usuario a 60 peticiones por minuto.

Alojamiento y transporte

Los datos se alojan en Francia. Todo pasa por HTTPS, con HSTS, y las páginas de la aplicación que muestran secretos nunca se guardan en caché. Los detalles de los proveedores figuran en la política de privacidad.

Lo que Share Auth no hace

Share Auth comparte códigos 2FA. No sustituye a un gestor de contraseñas ni a una estrategia de gestión de identidades, y no protege una cuenta cuya contraseña ya circula. Mantén corta la lista de tus editores: son ellos quienes pueden ver las semillas.