Centro de Confianza CRY: Estándares de Software Defensivo e Infraestructura

En CRY aplicamos de forma estricta los principios de «Seguridad por defecto» (Secure by Default) y «Mínimo privilegio» (Least Privilege). En nuestros sistemas únicamente permanecen abiertos los puertos, servicios y credenciales estrictamente indispensables.

En lugar de exhibir sellos o certificados comerciales que no se corresponden con la realidad, implementamos salvaguardas auditables y contrastadas directamente en entornos de producción.

Todo el tráfico web se cifra con protocolos modernos TLS 1.3 y TLS 1.2. Las suites de cifrado obsoletas se desactivan a nivel de servidor web.

Las credenciales sensibles, claves de API y tokens de integración en bases de datos se cifran con AES-256-GCM o AES-256-CBC mediante claves de aplicación seguras.

Las copias de seguridad de las bases de datos se generan diariamente de forma automática y se transfieren a almacenamientos externos cifrados, aislados del servidor principal.

Efectuamos simulacros de restauración periódicos para asegurar que los respaldos no están corruptos y pueden desplegarse de inmediato en caso de necesidad.

Intentos fallidos de inicio de sesión, cambios críticos de permisos, anomalías de errores 404/403 y excepciones de servidor se registran con marcas temporales precisas.

Las contraseñas, información de pago y datos personales sensibles se enmascaran automáticamente antes de escribirse en los ficheros de log.

Las dependencias de Composer y npm se auditan periódicamente frente a bases de datos de vulnerabilidades (CVE, GitHub Advisory) y se parchean con celeridad.

Aplicamos una filosofía de dependencias mínimas, evitando paquetes de terceros obsoletos o innecesarios en el repositorio.

Ante cualquier sospecha de incidente, el componente afectado se aísla de inmediato y se revocan las sesiones de administración.

Efectuamos un análisis exhaustivo de causas raíz en los logs, desplegamos parches verificados y comunicamos lo ocurrido con total transparencia.

En sistemas alojados en servidores o cuentas cloud del cliente, las actualizaciones del sistema operativo, el cortafuegos (UFW) y las claves SSH son competencia del titular del servidor.

CRY asume la responsabilidad sobre la seguridad en la capa de aplicación del código entregado y facilita pautas de fortificación del servidor.

Los cambios se prueban en entornos de preproducción aislados. Suites automatizadas de pruebas con PHPUnit protegen la lógica de negocio y previenen regresiones.

El despliegue a producción elimina source-maps, desactiva herramientas de depuración y aísla rigurosamente las variables de entorno.

Si detectas una posible vulnerabilidad en nuestros servicios, te rogamos nos lo comuniques de forma confidencial a security@cry.com.tr antes de publicarlo.

Confirmamos la recepción de avisos en menos de 48 horas y desplegamos las correcciones verificadas con la máxima diligencia.

Los datos personales recopilados a través de formularios se gestionan con transparencia, consentimiento explícito e información comprensible.

Se respetan las preferencias de cookies (necesarias frente a analíticas); las etiquetas de medición no se disparan sin el consentimiento del usuario.

Las contraseñas de administración deben mantener una alta complejidad y no compartirse entre varios integrantes del equipo.

Los equipos de trabajo de los administradores deben mantenerse con el sistema operativo al día y el personal debe estar alerta ante ataques de phishing.