Seguridad y uso responsable.

Protecciones aplicadas

• HTTPS en producción y cookies de sesión con atributos de seguridad gestionadas por el sistema de autenticación.
• Políticas RLS aplicadas a los roles del navegador en PostgreSQL: el permiso se decide en la base de datos y no ocultando botones. Las claves administrativas existen solo en el servidor y nunca llevan el prefijo público.
• Tokens de acceso e invitación almacenados como hashes, comprobaciones atómicas para evitar dobles usos y límites de frecuencia verificados en el servidor.
• Archivos separados por usuario, validación de tipo y tamaño, conversión de imágenes a WebP en el navegador y comprobación de autoría, permiso y licencia antes de publicar.
• Comentarios como texto plano, edición limitada a 15 minutos, denuncias privadas, bloqueo de perfiles y cola de moderación.
• Altas públicas cerradas: una nueva identidad no obtiene acceso comunitario solo por autenticarse.

Lo que no prometemos

• No existe seguridad absoluta ni se garantiza disponibilidad continua.
• Los correos y mensajes no son un canal para secretos y no se presentan como cifrados de extremo a extremo.
• Una insignia, invitación o perfil no certifica por sí solo la identidad, la etnia ni el parentesco de una persona.
• Los proveedores conservan sus propios registros y copias de seguridad dentro de sus condiciones.

Protege tu cuenta

• Usa una contraseña única y larga, protege también tu correo y activa la verificación en dos pasos de Google si usas ese acceso.
• No compartas enlaces mágicos, enlaces de activación ni códigos. Comprueba que el dominio sea mandjaco.co antes de introducir credenciales.
• Cierra sesión en dispositivos compartidos, revisa lo que haces público y denuncia mensajes o perfiles sospechosos.
• Si crees que alguien entró en tu cuenta, cambia la contraseña, cierra las sesiones abiertas y usa los controles disponibles.

Comunicar una vulnerabilidad

Todavía falta verificar y publicar un canal externo de seguridad; una dirección escrita en la configuración no demuestra que reciba mensajes. Este es un bloqueo operativo que debe resolverse. No envíes datos ajenos o secretos a una dirección no verificada.

Cuando el canal exista, una comunicación responsable deberá incluir la URL afectada, los pasos mínimos y el impacto posible. No accedas a cuentas ajenas, descargues datos, interrumpas el servicio, uses ingeniería social ni publiques detalles antes de una corrección.

Respuesta a incidentes

Cuando se confirma un incidente, se limita el acceso, se revisan registros, se corrige la causa y se rotan credenciales cuando procede. Si el riesgo para las personas es alto, se notificará a la autoridad y a las personas afectadas cuando la ley lo exija.