DasonField

Protección por capas

Política y prácticas de seguridad

Una cuenta, un archivo de inventario y un enlace de recuperación necesitan cuidados distintos. Esta página explica las medidas del servicio y las precauciones al trabajar con tus datos.

Versión 2.0 · Última actualización: 8 de agosto de 2026 · No se afirman certificaciones externas.

1. Modelo de seguridad

DasonField combina almacenamiento local, servicios autenticados mínimos y respaldo cloud voluntario. Los proyectos no se sincronizan como una base reutilizable: solo sale del teléfono lo que el usuario ordena, sea el ZIP de un respaldo o una transferencia a su DasonField Desktop, y queda en su espacio privado. Reducimos la exposición separando trabajo local, cuenta, suscripción y archivos.

2. Cuentas y contraseñas

  • Las contraseñas se derivan con scrypt, salt aleatorio y comparación de tiempo constante; no se guardan en texto claro.
  • Verificación, recuperación y eliminación usan tokens de un solo uso; el servidor conserva su hash y controla vencimiento/uso.
  • Los tokens de acceso y renovación están firmados; las sesiones de renovación son revocables y rotan.
  • Los intentos sensibles tienen rate limiting y respuestas que evitan revelar innecesariamente si una cuenta existe.
  • El correo de verificación protege la propiedad de la dirección, pero no sustituye una contraseña segura.

3. Sitio web, aplicaciones y transporte

  • HTTPS y HSTS obligan transporte cifrado en producción.
  • Content Security Policy restringe scripts, conexiones, imágenes, marcos y formularios a orígenes autorizados.
  • CORS usa una lista explícita de orígenes; cabeceras Helmet, anti-embedding y controles de tipo reducen ataques web comunes.
  • La política de permisos limita geolocalización, cámara y sensores al propio sitio y desactiva capacidades no necesarias.
  • La aplicación Android y DasonField Desktop hablan con la API solo por HTTPS, y el escritorio comprueba la huella SHA-256 de cada actualización antes de instalarla.

4. API, autorización y aislamiento

Las entradas se validan y se aplican permisos por operación. Los respaldos se consultan por organización, usuario e identidad autenticada. La API limita solicitudes y revoca sesiones al cerrar sesión, cambiar credenciales o eliminar la cuenta. Los secretos del servidor y de Paddle no se incluyen en el cliente.

5. Respaldos cloud

  • Cada objeto usa una ruta con organización, usuario e identificador aleatorio.
  • Subida y descarga utilizan URLs firmadas con vencimiento corto.
  • El servidor valida tipo, tamaño declarado y existencia antes de completar el respaldo; registra una huella SHA-256 para integridad.
  • Lista, descarga y eliminación exigen sesión y permisos de la cuenta propietaria.
  • El ZIP no está cifrado de extremo a extremo por DasonField; evita incluir datos innecesarios y protege tu cuenta.

6. Pagos y terceros

Paddle o Google Play procesan los datos de pago. DasonField recibe identificadores y estado necesarios para asignar Premium, no el número completo de tarjeta. Los mapas, geocodificación, clima, correo y almacenamiento se limitan a la información necesaria para la función y quedan sujetos a la seguridad de cada proveedor.

7. Privacidad y minimización

No hay publicidad ni analítica conductual de terceros. Ubicación, cámara y archivos se usan cuando el usuario activa la función. Fotografías e inventarios permanecen locales salvo que se compartan o incluyan voluntariamente en un ZIP. Consulta Privacidad.

8. Responsabilidad del usuario

  • Usa una contraseña única de 12 o más caracteres y protege tu correo.
  • Actualiza sistema, navegador y DasonField; no instales copias de fuentes desconocidas.
  • No compartas códigos, enlaces, tokens ni capturas con credenciales.
  • Exporta respaldos y verifica que puedan abrirse antes de borrar datos.
  • Cierra sesión en dispositivos ajenos y reporta accesos, cobros o cambios no reconocidos.

9. Gestión y reporte de incidentes

Investigamos reportes, contenemos el riesgo, revocamos credenciales cuando corresponde, corregimos la causa y notificamos a usuarios o autoridades cuando la ley lo exige. Para reportar una vulnerabilidad, escribe a dasonfield@gmail.com con asunto SEGURIDAD DASONFIELD. Incluye pasos reproducibles e impacto; no accedas a datos ajenos, no destruyas información y no publiques secretos.

Publicamos un archivo para investigadores en /.well-known/security.txt.

10. Límites

Ninguna medida garantiza riesgo cero. Esta página describe controles implementados, no una certificación, auditoría independiente, garantía de invulnerabilidad ni cifrado de extremo a extremo. Revisamos los controles cuando cambia el producto.

Layered protection

Security Policy and Practices

An account, an inventory file, and a password-reset link need different safeguards. This page explains service protections and precautions for handling your data.

Version 2.0 · Last updated August 8, 2026 · No external certification is claimed.

1. Security model

DasonField combines local storage, minimal authenticated services, and voluntary cloud backup. Projects are not synchronized as a reusable database; only what the user orders leaves the phone, either a backup ZIP or a transfer to their DasonField Desktop, and it stays in their private space.

2. Accounts and authentication

  • Passwords are derived with scrypt, random salts, and constant-time comparison; plaintext passwords are not stored.
  • Verification, recovery, and deletion use expiring one-time tokens whose hashes are stored server-side.
  • Signed access and refresh tokens support revocable, rotating sessions.
  • Sensitive endpoints are rate-limited and avoid unnecessary account enumeration.

3. Web, transport, and API

  • Production uses HTTPS, HSTS, CSP, explicit CORS origins, Helmet headers, anti-framing, permission limits, and input validation.
  • The Android app and DasonField Desktop talk to the API over HTTPS only, and the desktop checks the SHA-256 digest of every update before installing it.
  • Operations require authentication and scoped permissions. Server and Paddle secrets are never bundled in the client.

4. Cloud backups

  • Objects are scoped by organization and user with random IDs.
  • Uploads and downloads use short-lived signed URLs.
  • The server validates declared type, size, and object existence and records a SHA-256 digest.
  • Listing, downloading, and deletion require the owner's authenticated permissions.
  • DasonField does not end-to-end encrypt the ZIP itself; avoid unnecessary sensitive data and protect the account.

5. Payments and privacy

Paddle or Google Play processes payment credentials; DasonField receives only identifiers and status needed for Premium. There is no third-party behavioral advertising. Location, camera, and files are used when a feature is activated. Read the Privacy Policy.

6. User responsibilities

  • Use a unique password of at least 12 characters and secure the email account.
  • Keep your OS, browser, and DasonField current; avoid unofficial copies.
  • Never share codes, links, tokens, or credential screenshots.
  • Keep verified exports and sign out of devices you do not control.

7. Vulnerability reporting

Email dasonfield@gmail.com with subject DASONFIELD SECURITY. Include reproducible steps and impact. Do not access other users' data, destroy data, or publish secrets. See security.txt.

8. Limits

No measure eliminates all risk. This document describes implemented controls; it is not an external audit, certification, invulnerability guarantee, or claim of end-to-end encryption.