Seguridad
Última actualización:
Ilnami guarda recuerdos privados, así que la seguridad no es un extra. Aquí solo contamos lo que hace hoy y, donde se puede, una prueba automática lo vigila.
Cada tabla, con RLS
La base de datos aplica seguridad a nivel de fila (RLS) en todas sus tablas: cada consulta devuelve solo lo tuyo o lo que alguien ha compartido contigo en un círculo. Una sonda SQL de la integración continua falla si alguna tabla se queda sin RLS o con permisos de más.
Sesión y contraseña
La sesión viaja en cookies httpOnly, que el JavaScript de la página no puede leer, con SameSite=Lax y Secure en producción. Las contraseñas las gestiona Supabase Auth, que solo guarda su hash.
Política de contenido con nonce
Cada página lleva una política de seguridad de contenido (CSP) con un nonce nuevo en cada petición: el navegador solo ejecuta los scripts que lo llevan. También enviamos HSTS, X-Frame-Options, nosniff, Referrer-Policy y Permissions-Policy, y las peticiones que cambian algo comprueban su origen.
Límites y validación
Las acciones del servidor pasan por un límite de peticiones con ventana deslizante que, si el almacén no responde, bloquea en vez de dejar pasar. Cada parámetro se valida con un esquema (Zod) antes de usarse.
Sin grabación de sesiones
No grabamos lo que haces en la pantalla. Los informes de errores no llevan tu correo, tu IP ni el contenido de tus recuerdos, y la analítica solo se carga si la aceptas.
Dónde están tus datos
La base de datos, la autenticación y las fotos están en Supabase, en la Unión Europea (Fráncfort), cifradas en tránsito y en reposo. Qué otros proveedores intervienen y para qué está en la Política de Privacidad.
Tú decides
Desde Perfil puedes descargar todos tus datos en JSON y eliminar tu cuenta con todo lo que contiene.
Avisar de un fallo de seguridad
Si encuentras una vulnerabilidad, escríbenos a hola@ilnami.com con los pasos para reproducirla. Te pedimos que no accedas a datos de otras personas ni degrades el servicio al comprobarla, y que nos des tiempo para arreglarla antes de hacerla pública. La misma dirección está en security.txt.