Q: ¿Qué política de contraseñas y MFA aplicáis?

Seguimos las recomendaciones de NIST SP 800-63B modernas: Longitud mínima de 12 caracteres, sin expiración forzosa, verificación contra listas de contraseñas filtradas (HaveIBeenPwned). Hashing con bcrypt + sal única por usuario. MFA opcional para todos los usuarios (TOTP, WebAuthn/Passkeys) y obligatorio para administradores de cuenta y personal interno de Tendios. Lockout temporal tras intentos fallidos y detección de accesos sospechosos.

Q: ¿Cómo se controla el acceso a los datos del cliente?

Aplicamos el principio de mínimo privilegio y defensa en profundidad: El personal de Tendios solo accede a datos del cliente cuando es estrictamente necesario para soporte o mantenimiento, siempre con MFA obligatorio y credenciales temporales. Cada acceso queda registrado en un log inmutable con identidad del operador, fecha, recurso y motivo. Los logs se conservan 12 meses. Los clientes pueden gestionar roles y permisos dentro de su cuenta mediante nuestro sistema de RBAC (control de acceso basado en roles). Cualquier cambio sensible requiere revisión por al menos dos personas ( four-eyes principle ).

Q: ¿Cómo gestionáis las sesiones de usuario?

Utilizamos JWT firmados con rotación de refresh tokens y cookies HttpOnly + SameSite=strict . Expiración configurable: 24 horas por defecto, 15 minutos en operaciones sensibles. Los usuarios pueden ver y revocar sesiones activas desde los ajustes de cuenta. Detección de tokens robados mediante rotación: si se reutiliza un refresh token caducado, invalidamos todas las sesiones del usuario.

Q: ¿Ofrecéis Single Sign-On (SSO)?

Sí. Soportamos SSO para planes Business y Enterprise mediante: OAuth 2.0 con Google Workspace y Microsoft Entra ID (Azure AD) . SAML 2.0 para cualquier proveedor de identidad corporativo (Okta, OneLogin, Ping, etc.). Provisión automática mediante SCIM 2.0 para altas, bajas y cambios de rol. Delegación total de la política de contraseñas y MFA en el IdP del cliente.

Question 1

¿Qué política de contraseñas y MFA aplicáis?

Accepted Answer

Seguimos las recomendaciones de NIST SP 800-63B modernas:

Longitud mínima de 12 caracteres, sin expiración forzosa, verificación contra listas de contraseñas filtradas (HaveIBeenPwned).
Hashing con bcrypt + sal única por usuario.
MFA opcional para todos los usuarios (TOTP, WebAuthn/Passkeys) y obligatorio para administradores de cuenta y personal interno de Tendios.
Lockout temporal tras intentos fallidos y detección de accesos sospechosos.

Question 2

¿Cómo se controla el acceso a los datos del cliente?

Accepted Answer

Aplicamos el principio de mínimo privilegio y defensa en profundidad:

El personal de Tendios solo accede a datos del cliente cuando es estrictamente necesario para soporte o mantenimiento, siempre con MFA obligatorio y credenciales temporales.
Cada acceso queda registrado en un log inmutable con identidad del operador, fecha, recurso y motivo. Los logs se conservan 12 meses.
Los clientes pueden gestionar roles y permisos dentro de su cuenta mediante nuestro sistema de RBAC (control de acceso basado en roles).
Cualquier cambio sensible requiere revisión por al menos dos personas (four-eyes principle).

Question 3

¿Cómo gestionáis las sesiones de usuario?

Accepted Answer

Utilizamos JWT firmados con rotación de refresh tokens y cookies HttpOnly + SameSite=strict.

Expiración configurable: 24 horas por defecto, 15 minutos en operaciones sensibles.
Los usuarios pueden ver y revocar sesiones activas desde los ajustes de cuenta.
Detección de tokens robados mediante rotación: si se reutiliza un refresh token caducado, invalidamos todas las sesiones del usuario.

Question 4

¿Ofrecéis Single Sign-On (SSO)?

Accepted Answer

Sí. Soportamos SSO para planes Business y Enterprise mediante:

OAuth 2.0 con Google Workspace y Microsoft Entra ID (Azure AD).
SAML 2.0 para cualquier proveedor de identidad corporativo (Okta, OneLogin, Ping, etc.).
Provisión automática mediante SCIM 2.0 para altas, bajas y cambios de rol.
Delegación total de la política de contraseñas y MFA en el IdP del cliente.

¿Qué política de contraseñas y MFA aplicáis?

Preguntas relacionadas