Confianza

Los detalles técnicos detrás de nuestra página de seguridad, para equipos de TI, desarrolladores y cualquiera que esté haciendo una evaluación. Todo lo que aparece aquí ya está implantado hoy, salvo que se indique lo contrario.

Última actualización: 12 de octubre de 2026

Alojamiento y ubicación de los datos

• Servidores: en Londres, Reino Unido. Ejecutan la API, el conector de IA, el panel y el servicio de los sitios publicados, y contienen la base de datos de cuentas.
• Archivos de los sitios: se guardan en almacenamiento de objetos duradero en la UE. Ese almacenamiento es la fuente de referencia; los servidores de Londres solo mantienen una caché.
• Copias de seguridad de la base de datos: en el mismo almacenamiento de la UE, en un bucket aparte con claves distintas.
• Edge: una red global sirve y almacena en caché las páginas públicas cerca de los visitantes.
• Fuera del Reino Unido/UE: nuestros servicios de inicio de sesión, pagos y correo tratan algunos datos en Estados Unidos. Las empresas figuran en nuestra página de subencargados.

Red y transporte

• Cada nombre de host en pagelemon.com y pagelemon.dev se sirve a través de una red edge global que ofrece mitigación de DDoS y TLS en el edge. El HTTP simple se redirige a HTTPS.
• Bloqueo del origen: nuestros servidores descartan las peticiones web que no proceden de los rangos de IP publicados de la red edge, de modo que no se puede llegar al origen directamente para saltarse la protección.
• El tramo entre la red edge y nuestros servidores también va cifrado, con un certificado de origen.
• HSTS (6 meses, incluidos los subdominios) en pagelemon.com y en los hosts de la app, la API y el conector. .dev es un dominio de nivel superior con HSTS precargado, así que los navegadores solo llegan a los sitios de los usuarios por HTTPS.

Aislamiento de sitios y cabeceras

• Dominios registrables separados. Los sitios de los usuarios se sirven desde *.pagelemon.dev; las cuentas, el panel y la API están en pagelemon.com. Las cookies y el almacenamiento de un sitio de usuario nunca pueden llegar a la sesión de la cuenta.
• Content Security Policy estricta en el sitio de marketing (scripts solo desde nuestro propio origen, sin frames), y X-Frame-Options: DENY en el panel.
• Los sitios de los usuarios se envían con X-Content-Type-Options: nosniff, una política de referrer estricta y Cross-Origin-Opener-Policy: same-origin-allow-popups. No les inyectamos scripts, rastreadores ni cookies; el distintivo del plan gratis es HTML y CSS sin más.
• Los sitios protegidos con contraseña y los sitios solo para miembros nunca se guardan en cachés compartidas (Cache-Control: private, no-store) y nunca se indexan.
• Cuando un sitio se retira por abuso, se sirve con Clear-Site-Data, así que el navegador del visitante borra su caché, su almacenamiento y sus service workers.
• Las contraseñas de los sitios se cifran con scrypt (salt aleatoria por sitio). La cookie de desbloqueo del visitante va firmada con HMAC, HttpOnly y Secure, y cambiar la contraseña invalida todas las cookies antiguas. Los intentos de desbloqueo fallidos tienen un límite de frecuencia.

Refuerzo de servidores

• SSH solo con claves personales nominativas: el acceso con contraseña y el acceso como root están desactivados. Un cortafuegos en el host solo permite el tráfico SSH y web.
• Cada servicio se ejecuta en su propio contenedor como usuario sin privilegios de root, con un sistema de archivos de solo lectura, sin ninguna capability de Linux, con la escalada de privilegios bloqueada y con sus propios límites de memoria y procesos, así que un fallo no puede dejar sin recursos al resto.
• Los secretos están separados por servicio: la aplicación no puede ver las claves de las copias de seguridad, y el proceso de copias no puede ver las claves de inicio de sesión, pagos ni correo.
• Las claves de almacenamiento se limitan a un solo bucket y están ligadas a la dirección IP de nuestro servidor. Las claves de correo solo pueden enviar.
• Cada versión pasa el conjunto de pruebas automáticas antes de publicarse. Las imágenes de cada versión se compilan fuera del servidor y se conserva la anterior para volver atrás con un solo comando.
• Las acciones del personal en las herramientas de administración quedan en un registro de auditoría, y las acciones delicadas requieren haber iniciado sesión en los últimos 10 minutos.

Copias de seguridad, versiones y recuperación

• Copia de seguridad continua de la base de datos: los cambios se transmiten al almacenamiento de la UE en segundos, con restauración a un punto en el tiempo.
• Restauraciones probadas: un simulacro de restauración reconstruye la base de datos desde la copia y ejecuta una comprobación de integridad. Última ejecución el 12 de octubre de 2026: superada.
• Bloqueo de borrado: los archivos recientes de los sitios y las copias de la base de datos están bajo un bloqueo de bucket, así que no se pueden borrar, ni siquiera con las claves de nuestro propio servidor.
• Versiones inmutables: cada publicación es una versión nueva que no se puede modificar; publicar es cambiar un puntero, y volver atrás es una sola llamada. Guardamos todas las versiones durante 30 días y después la última de cada semana, de 7 días (Gratis) a 2 años (Company), según el plan.
• Ningún cambio perdido: cada publicación indica la versión de la que partió; si otra persona publicó entre medias, se rechaza con un conflicto claro en lugar de sobrescribir su trabajo.
• Servir contenido caducado: los archivos públicos publicados pueden servirse desde la caché del edge hasta 7 días si nuestro origen está caído o da errores. Los sitios privados nunca se almacenan en caché.
• Monitorización: una comprobación externa en un servidor aparte prueba la API, el panel y el conector cada 5 minutos y envía una alerta por correo si fallan. La aplicación avisa si faltan archivos almacenados.

Inicio de sesión y seguridad de la cuenta

El inicio de sesión de la cuenta lo gestiona un servicio de acceso especializado. Hoy:

• Métodos de inicio de sesión: código de un solo uso por correo, Google o contraseña. Las direcciones de correo se verifican con un código.
• Contraseñas: al menos 15 caracteres, comprobadas contra contraseñas filtradas conocidas al registrarse y de nuevo al iniciar sesión.
• Bloqueo de la cuenta tras varios intentos fallidos.
• Solo recibimos un token de sesión firmado, que se verifica en cada petición contra nuestros propios dominios. Nunca vemos ni guardamos las contraseñas de las cuentas.

Los sitios solo para miembros hacen iniciar sesión a los visitantes con su correo electrónico en app.pagelemon.com y después entregan al sitio un código de un solo uso para su propia cookie. En el propio sitio no se ejecuta ningún script de inicio de sesión. Los pagos con tarjeta los gestiona nuestro procesador de pagos; los números de tarjeta nunca pasan por nuestros servidores.

Conexiones de IA y tokens de API

• Las apps de IA se conectan mediante OAuth con PKCE (S256) e indicadores de recurso. Los tokens de acceso duran 1 hora; los tokens de actualización rotan con cada uso, las conexiones terminan tras 30 días sin uso, y reutilizar un código o token de actualización antiguo revoca toda la conexión.
• Los tokens de API y de sitio solo se guardan como hashes SHA-256. Cada token tiene permisos (deploy o deploy + manage), se puede limitar a un solo sitio, puede caducar y se puede revocar en cualquier momento.
• Aprobación humana: invitar a personas, quitar la contraseña de un sitio, cambiarle el nombre y transferirlo devuelven un enlace de aprobación que el propietario de la cuenta debe abrir y confirmar con la sesión iniciada. Un token por sí solo no puede hacerlo. Las acciones destructivas tienen dos pasos.
• Cada nuevo token o conexión de IA aparece como un aviso en las notificaciones del propietario de la cuenta, en la app, y normalmente también se le envía por correo.

Revisión de subidas

• Protección contra filtraciones: cada archivo de texto se revisa en busca de tipos conocidos de claves secretas y claves privadas. Una coincidencia bloquea toda la subida e indica el archivo y la línea.
• Las carpetas de control de versiones, los archivos de entorno, las carpetas de dependencias, los source maps y los archivos de claves se omiten y nunca se sirven.
• Los archivos comprimidos se descomprimen con límites de tamaño y de número de archivos; se rechazan los enlaces, los dispositivos, las rutas absolutas y las rutas ...
• Los sitios anónimos y del plan Gratis solo aceptan archivos web, revisados por su contenido: nada de programas, instaladores ni scripts, y los archivos binarios deben ser de verdad imágenes, fuentes, audio, vídeo, PDF o WebAssembly.
• Las subidas sin cuenta están limitadas por red.

Phishing y abusos

• Se rechazan los nombres de sitio elegidos que están reservados, que imitan a marcas de alto riesgo (bancos, pagos, mensajería, cripto, organismos públicos, grandes tecnológicas), incluidas las grafías parecidas, o que contienen palabras habituales de phishing. También se rechazan los dominios propios que imitan a esas marcas.
• Los sitios no reclamados caducan a las 72 horas y no se pueden proteger con contraseña, así que no se pueden ocultar a la revisión. Los sitios no reclamados y los que tienen menos de 7 días envían noindex.
• Cualquiera puede denunciar cualquier sitio en pagelemon.com/report (cada sitio también enlaza allí desde /_pagelemon/report y su security.txt); las denuncias llegan al personal, que puede suspender un sitio de inmediato y bloquear cuentas. Cada acción del personal queda auditada.
• Los plugins del sitio avisan y se pueden desactivar si una página pone un campo de contraseña junto a ellos.

Autenticación de correo

• *.pagelemon.dev: null MX, v=spf1 -all y DMARC p=reject, así que ninguna dirección de un sitio de usuario puede recibir correo ni usarse para suplantarlo.
• El correo enviado en nombre de los sitios sale de pagelemon.dev, firmado con DKIM, con DMARC estricto (p=reject, alineación estricta). Nuestro propio correo sale de pagelemon.com, firmado con DKIM, con DMARC p=reject, así que se rechaza el correo que falsifica nuestras direcciones.
• El correo de los sitios y nuestro propio correo usan dominios separados, así que el spam de un sitio mal usado no puede afectar a la entrega de los correos de inicio de sesión y facturación.

Registros y conservación de datos

• Los registros de acceso de la aplicación, la API y los sitios publicados guardan direcciones IP truncadas y eliminan las cabeceras de autorización, las cookies, las cadenas de consulta y los tokens de enlaces secretos. En nuestro sitio de marketing, el registro conserva solo las partes ref, invite y utm_ de la cadena de consulta, que nos indican qué enlace te trajo. Todos los registros se renuevan en bastante menos de 30 días.
• Las direcciones IP de quienes suben sitios publicados sin cuenta se eliminan a los 30 días.
• Los archivos de los sitios eliminados se borran a los 7 días. Puedes descargar cualquier sitio como zip y eliminar tu cuenta tú mismo.

Certificaciones

Nuestro alojamiento, la red edge y los servicios de inicio de sesión, pagos y correo los operan proveedores consolidados con certificaciones de seguridad independientes como SOC 2 Type II e ISO/IEC 27001, y nuestro procesador de pagos cumple PCI DSS Nivel 1. Estos proveedores operan a una escala mucho mayor que Page Lemon, así que la capacidad crece con nosotros; nuestro propio plan para crecer por etapas está documentado y se activa según la carga medida. Cada empresa que trata tus datos por nosotros figura en nuestra página de subencargados.

Lo que aún falta

Preferimos contártelo antes de que lo descubras:

• Public Suffix List: pagelemon.dev aún no está en la Public Suffix List. Hasta que lo esté, los navegadores tratan los sitios hermanos en pagelemon.dev como el mismo sitio a efectos de cookies. Nuestras cuentas no se ven afectadas (están en pagelemon.com); estamos preparando la solicitud.
• El inicio de sesión en dos pasos aún no está disponible para las cuentas de Page Lemon.
• Page Lemon no tiene una certificación SOC 2 ni ISO 27001 propia.

Informa de una vulnerabilidad

Escribe a support@pagelemon.com. Por favor, no accedas a datos de otras personas, no interrumpas el servicio ni publiques detalles antes de que hayamos corregido el problema. No emprenderemos acciones legales contra la investigación de buena fe que siga estas reglas y, si quieres, te daremos el crédito. Nuestros datos de contacto también están en security.txt.

Para denunciar un sitio dañino, usa Denunciar un sitio.