Q: ¿Cómo gestionáis las sesiones de usuario?

Utilizamos JWT firmados con rotación de refresh tokens y cookies HttpOnly + SameSite=strict . Expiración configurable: 24 horas por defecto, 15 minutos en operaciones sensibles. Los usuarios pueden ver y revocar sesiones activas desde los ajustes de cuenta. Detección de tokens robados mediante rotación: si se reutiliza un refresh token caducado, invalidamos todas las sesiones del usuario.

Q: ¿Cómo se controla el acceso a los datos del cliente?

Aplicamos el principio de mínimo privilegio y defensa en profundidad: El personal de Tendios solo accede a datos del cliente cuando es estrictamente necesario para soporte o mantenimiento, siempre con MFA obligatorio y credenciales temporales. Cada acceso queda registrado en un log inmutable con identidad del operador, fecha, recurso y motivo. Los logs se conservan 12 meses. Los clientes pueden gestionar roles y permisos dentro de su cuenta mediante nuestro sistema de RBAC (control de acceso basado en roles). Cualquier cambio sensible requiere revisión por al menos dos personas ( four-eyes principle ).

Q: ¿Qué política de contraseñas y MFA aplicáis?

Seguimos las recomendaciones de NIST SP 800-63B modernas: Longitud mínima de 12 caracteres, sin expiración forzosa, verificación contra listas de contraseñas filtradas (HaveIBeenPwned). Hashing con bcrypt + sal única por usuario. MFA opcional para todos los usuarios (TOTP, WebAuthn/Passkeys) y obligatorio para administradores de cuenta y personal interno de Tendios. Lockout temporal tras intentos fallidos y detección de accesos sospechosos.

Question 1

¿Cómo gestionáis las sesiones de usuario?

Accepted Answer

Utilizamos JWT firmados con rotación de refresh tokens y cookies HttpOnly + SameSite=strict.

Expiración configurable: 24 horas por defecto, 15 minutos en operaciones sensibles.
Los usuarios pueden ver y revocar sesiones activas desde los ajustes de cuenta.
Detección de tokens robados mediante rotación: si se reutiliza un refresh token caducado, invalidamos todas las sesiones del usuario.

Question 2

¿Cómo se controla el acceso a los datos del cliente?

Accepted Answer

Aplicamos el principio de mínimo privilegio y defensa en profundidad:

El personal de Tendios solo accede a datos del cliente cuando es estrictamente necesario para soporte o mantenimiento, siempre con MFA obligatorio y credenciales temporales.
Cada acceso queda registrado en un log inmutable con identidad del operador, fecha, recurso y motivo. Los logs se conservan 12 meses.
Los clientes pueden gestionar roles y permisos dentro de su cuenta mediante nuestro sistema de RBAC (control de acceso basado en roles).
Cualquier cambio sensible requiere revisión por al menos dos personas (four-eyes principle).

Question 3

¿Qué política de contraseñas y MFA aplicáis?

Accepted Answer

Seguimos las recomendaciones de NIST SP 800-63B modernas:

Longitud mínima de 12 caracteres, sin expiración forzosa, verificación contra listas de contraseñas filtradas (HaveIBeenPwned).
Hashing con bcrypt + sal única por usuario.
MFA opcional para todos los usuarios (TOTP, WebAuthn/Passkeys) y obligatorio para administradores de cuenta y personal interno de Tendios.
Lockout temporal tras intentos fallidos y detección de accesos sospechosos.

¿Cómo gestionáis las sesiones de usuario?

Preguntas relacionadas