Seguridad

Los vendedores confían a ExperShip sus datos de envío, las direcciones de sus clientes y el acceso a sus cuentas de transportistas. Esta página explica cómo protegemos esos datos y cómo avisarnos si encuentra un problema de seguridad en nuestro sitio web, nuestra app o nuestra API.

Nuestro enfoque

Mantenemos la seguridad en un plano práctico: recopilamos solo los datos que necesitamos para enviar sus pedidos, los protegemos en tránsito y en almacenamiento, limitamos quién puede acceder a ellos y corregimos rápidamente los problemas que encontramos. No afirmamos tener certificaciones de seguridad que no tenemos. Si necesita detalles para una evaluación de seguridad, contáctenos.

Protección de datos

• Cifrado en tránsito. El tráfico entre su navegador o su código y ExperShip se cifra con TLS (HTTPS).
• Cifrado en reposo. Nuestras bases de datos, almacenamiento de archivos y copias de seguridad están cifrados en reposo.
• Minimización de datos. Recopilamos los datos de envío, aduana y cuenta necesarios para prestar el servicio. Nuestra Política de privacidad detalla qué recopilamos y por qué.

Infraestructura

La app de ExperShip, la API y este sitio web funcionan en Amazon Web Services (AWS), en la región US East (N. Virginia), por lo que los datos de los clientes se almacenan en Estados Unidos. AWS proporciona la seguridad física, la protección de red y los controles del centro de datos de la infraestructura sobre la que construimos.

Seguridad de la cuenta

• Contraseñas. Guardamos las contraseñas solo como hashes con sal, nunca en texto plano. Nadie en ExperShip puede ver su contraseña.
• Autenticación de dos factores. La autenticación de dos factores (2FA) para las cuentas de ExperShip está en nuestra hoja de ruta. Mientras tanto, una contraseña única y segura es su mejor protección.
• Su parte. Use una contraseña única y segura y no comparta su inicio de sesión con otras personas de su equipo; dé a cada persona su propio acceso donde la app lo permita.

Seguridad de la API

La API de ExperShip se autentica con claves de API. Para mantener su cuenta segura:

• Mantenga sus claves de API en secreto. Guárdelas en su servidor, nunca en código del navegador, apps móviles ni repositorios públicos.
• Rote una clave de inmediato si cree que quedó expuesta, y rote sus claves de vez en cuando como hábito.
• Llame a la API solo por HTTPS.

ExperShip le da claves de API de prueba y de producción separadas, para que pueda desarrollar y probar sin crear envíos reales. Puede rotar las claves usted mismo desde el panel, la API tiene límites de solicitudes para proteger el servicio contra abusos, y los webhooks están firmados para que su servidor pueda verificar que un evento realmente vino de ExperShip antes de actuar.

Pagos

Los datos de las tarjetas los gestiona nuestro procesador de pagos. No almacenamos números de tarjeta completos en los sistemas de ExperShip.

Control de acceso

El acceso a los sistemas de producción y a los datos de los clientes se limita a las personas que lo necesitan para su función, y se retira cuando ya no es necesario.

Copias de seguridad y respuesta a incidentes

Hacemos copias de seguridad de los datos de los clientes con regularidad para poder restaurarlos si algo sale mal. Si un incidente de seguridad afecta sus datos, lo investigamos, lo contenemos y notificamos a los clientes afectados según lo exija la ley.

Si cree que su cuenta de ExperShip fue comprometida, cambie su contraseña, rote sus claves de API y escriba a info@expership.com de inmediato.

Subencargados

Usamos un número reducido de proveedores de servicios para operar ExperShip, como alojamiento en la nube, envío de correos y procesamiento de pagos. Las categorías de proveedores y lo que reciben se detallan en Cómo se comparte su información en nuestra Política de privacidad.

Política de divulgación de vulnerabilidades

Agradecemos los informes de investigadores de seguridad y clientes. Si encuentra una vulnerabilidad, avísenos en privado para que podamos corregirla antes de que se pueda aprovechar.

Alcance

• expership.com y www.expership.com
• app.expership.com
• La API de ExperShip

Fuera del alcance: servicios de terceros que usamos (por ejemplo, transportistas, nuestro proveedor de alojamiento o nuestro procesador de pagos), que tienen sus propios programas de divulgación, y los informes sin impacto en la seguridad, como la falta de encabezados de buenas prácticas sin un exploit funcional.

Cómo informar

Escriba a info@expership.com con el asunto "Security report". Incluya:

• Una descripción del problema y el impacto que cree que tiene.
• La URL, el endpoint o la función afectada.
• Pasos claros para reproducirlo, con capturas de pantalla o una breve prueba de concepto si la tiene.
• Cómo podemos contactarle para preguntas de seguimiento.

Nuestros compromisos

Si informa de buena fe y sigue las reglas siguientes, nos comprometemos a:

• Acusar recibo de su informe y avisarle que lo estamos revisando.
• Mantenerle informado mientras investigamos y corregimos el problema.
• No emprender acciones legales contra usted por una investigación de seguridad que siga esta política.

Reglas de participación

• No acceda, modifique ni elimine datos que no sean suyos más allá de lo mínimo necesario para demostrar el problema. Si llega a datos personales, deténgase y avísenos.
• No realice pruebas de denegación de servicio ni nada que degrade el servicio para otras personas.
• Nada de ingeniería social ni phishing dirigido al personal o a los clientes de ExperShip.
• Nada de ataques físicos contra oficinas, centros de datos o personas.
• Use solo cuentas que le pertenezcan o que tenga permiso para usar.
• Denos un plazo razonable para corregir el problema antes de divulgarlo públicamente, y acuerde los tiempos con nosotros.

Por ahora no tenemos un programa de recompensas por errores (bug bounty) pagado.