Seguridad
Guardamos datos que importan: tu cuenta, tus marcas y, si nos los das, datos de salud como el peso o las molestias. Aquí te contamos cómo los protegemos, qué hemos revisado y cómo avisarnos si encuentras un problema.
Qué hemos revisado
La plataforma (app.runnerplanner.com) está autoevaluada según OWASP ASVS 5.0 nivel 1, a fecha de 23 de octubre de 2026. ASVS es una lista pública de requisitos de seguridad para aplicaciones web de la fundación OWASP. La revisión la hemos hecho nosotros, requisito a requisito y con pruebas automáticas donde se puede; no es una certificación: OWASP no certifica aplicaciones ni da sellos. La repetimos cuando cambia algo importante y, como mínimo, cada seis meses.
Tu cuenta
- Contraseñas de al menos 10 caracteres, sin reglas raras de mayúsculas o símbolos, y comprobadas contra filtraciones conocidas (sin enviar tu contraseña a nadie: solo un fragmento de su huella). Se guardan con un algoritmo lento (PBKDF2 con 210 000 iteraciones), nunca en claro.
- Tras 5 intentos fallidos la cuenta se bloquea 15 minutos, y hay un límite de intentos por conexión. Los mensajes no revelan si un email tiene cuenta.
- La sesión vive en una cookie que el navegador solo envía por HTTPS y que no se puede leer desde JavaScript. Al salir, esa sesión deja de valer aunque alguien tuviera una copia; al cambiar la contraseña o pulsar «Cerrar sesión en todos los dispositivos», se cierran todas las demás. Ninguna sesión dura más de 30 días.
- Te avisamos por correo cuando cambia tu contraseña.
Tus datos
- Todo viaja cifrado (HTTPS con TLS 1.2 o superior y HSTS). Cada persona solo puede ver sus propios datos: la base de datos filtra por usuario en cada consulta, y lo comprobamos con pruebas automáticas.
- Al modelo de inteligencia artificial que genera el plan le enviamos solo lo necesario, nunca tu nombre ni tu email (detalles en Privacidad).
- Copias de seguridad de la base de datos: diarias, cifradas y conservadas 14 días. Si borras tu cuenta, desaparece al momento de la plataforma y, como mucho 14 días después, también de las copias.
- Puedes descargar todos tus datos o borrar tu cuenta cuando quieras desde Ajustes → Privacidad.
La aplicación y el servidor
- Política de seguridad de contenidos (CSP) estricta, sin scripts de terceros en la plataforma, protección contra formularios falsificados y contra que otra web la meta en un marco.
- Revisamos en cada versión las dependencias con vulnerabilidades conocidas y buscamos secretos en el código. Las vulnerabilidades críticas se corrigen en 7 días como máximo y las altas en 30.
- Los servicios se ejecutan sin privilegios de administrador, con el sistema de ficheros en solo lectura y límites de memoria. La base de datos se usa con un usuario que no puede cambiar su estructura.
- Vigilamos la disponibilidad y los errores, y recibimos alertas si algo falla.
Lo que aún no tenemos
Preferimos decirlo: todavía no hay verificación en dos pasos (está prevista) y la plataforma está en beta privada, con un número pequeño de corredores.
Si encuentras un fallo de seguridad
Escríbenos a contacto@runnerplanner.com con el asunto «Seguridad» y cuéntanos qué has encontrado y cómo reproducirlo. Te responderemos en un máximo de 5 días laborables, te contaremos qué vamos a hacer y te avisaremos cuando esté corregido. Si quieres, te citaremos en el registro de cambios.
Te pedimos, a cambio, que actúes de buena fe:
- Usa solo cuentas tuyas y no accedas, cambies ni borres datos de otras personas.
- Nada de pruebas que puedan tumbar el servicio (denegación de servicio, pruebas de carga masivas), spam ni ingeniería social.
- No publiques el fallo hasta que lo hayamos corregido o hayan pasado 90 días.
Si cumples esto, no emprenderemos ninguna acción legal contra ti por tu investigación. Somos un proyecto pequeño y no tenemos programa de recompensas, pero lo agradeceremos de verdad. También publicamos estos datos en /.well-known/security.txt.