Trae tus preguntas de seguridad.
Preferimos responderlas antes de que compres, no después.
Seguridad
La gente responde honesto cuando sabe que sus respuestas están seguras.
Las encuestas guardan de los datos más sensibles que tiene una organización. Todo lo que sigue describe cómo funciona Grabitt hoy, no lo que pensamos construir.
En tránsito y en reposo
- Todos los dominios de Grabitt están en la lista de precarga HSTS, así que los navegadores se niegan a conectarse por HTTP plano. No existe una ruta sin cifrar hacia el producto.
- Los datos se cifran en reposo por la infraestructura sobre la que corren, Google Cloud y MongoDB Atlas.
- Las credenciales y las llaves de firma viven en Google Secret Manager. Ninguna queda dentro de nuestras imágenes ni en el código.
Entrar
- Los administradores entran con Google, con una cuenta de trabajo o estudio de Microsoft, o con una contraseña que nunca recibimos: quien la define la escribe al verificar su correo, y se guarda solo como un hash scrypt.
- Las sesiones son cookies firmadas, enviadas solo por HTTPS y limitadas a un único host, así que una sesión de nuestro ambiente de pruebas no significa nada en producción.
- Cambiar la contraseña invalida todas las sesiones emitidas antes del cambio.
- La API corre con una cuenta de servicio que tiene solo los permisos que necesita, y la identidad que despliega es distinta de la que ejecuta.
Mantener separados a los clientes
- Cada petición con alcance de equipo vuelve a verificar que el usuario tenga una membresía activa en ese equipo antes de hacer nada, y su rol define qué puede hacer.
- Los orígenes de navegador que pueden llamar a nuestra API son una lista explícita, nunca un comodín. Hay pruebas que la sostienen, incluso contra dominios hechos para parecerse al nuestro.
Confidencialidad de quien responde
- Una encuesta anónima no usa una lista de participantes, y Grabitt no guarda una relación técnica entre sus respuestas y la identidad de quien responde. Aun así, una pregunta que pida datos identificables, o lo que alguien escriba en una respuesta abierta, puede permitir reconocer a una persona.
- Una encuesta confidencial hace seguimiento de la participación, pero no entrega respuestas individuales: el equipo puede saber quién completó la encuesta, no qué respondió. Cada participante se identifica con su correo y un código de verificación, los resultados se publican agregados y con controles de confidencialidad solo cuando la encuesta se cierra, los comentarios de las preguntas abiertas se muestran sin autor, fecha ni segmento, y no permite exportación individual ni comparación con otras mediciones. Disponible en PAYG, PRO y Enterprise.
- Una encuesta identificada no es anónima ni confidencial: cada respuesta queda vinculada a su participante, y los miembros autorizados del equipo pueden exportar las respuestas individuales con el correo y el nombre de cada uno.
- En los planes pagos, los resultados y los reportes no muestran ningún segmento con menos de cinco respuestas. En el acceso de demostración el umbral es de una respuesta. Una encuesta confidencial exige siempre al menos cinco personas, aunque el plan cambie después, y no se puede bajar. El umbral no se puede modificar desde el espacio de trabajo y no aplica a la exportación de respuestas individuales de las encuestas anónimas e identificadas; las encuestas confidenciales nunca permiten descargas individuales.
- En las encuestas anónimas e identificadas, eliminar a un participante borra sus respuestas de todos los conteos, promedios y tabulados, no solo de la lista. En las confidenciales, quien ya respondió no se puede eliminar desde el espacio de trabajo y los resultados publicados al cerrar no cambian.
Compartir resultados
- Un reporte se comparte con un enlace imposible de adivinar o restringido con una clave de acceso que define y entrega quien lo autoriza, verificada de nuevo en cada visita, así que cambiarla surte efecto de inmediato.
- El acceso a un reporte restringido es un token firmado de corta vida emitido al ingresar la clave, no una contraseña que circula.
Endpoints que cualquiera alcanza
- Los endpoints de encuesta y de demo tienen límites de tasa por dirección y por encuesta y topan el tamaño de lo que aceptan. Una encuesta anónima también puede limitar cuántas respuestas acepta su enlace compartido.
- Cada envío se verifica contra la estructura de la propia encuesta: las respuestas obligatorias deben cubrir las preguntas que ese participante podía ver, y el consentimiento se valida en el servidor y no se confía del navegador.
Si algo sale mal
- La base de datos se respalda automáticamente todos los días.
- Las peticiones llevan un identificador de correlación por los logs estructurados, así un incidente se puede rastrear de punta a punta.
Lo que aún no afirmamos
Hoy Grabitt no cuenta con certificación SOC 2 ni ISO 27001, y preferimos decirlo aquí antes que dejar que una página de seguridad insinúe lo contrario. La certificación formal es hacia donde queremos llevar esto a medida que trabajamos con organizaciones más grandes. Mientras tanto, las prácticas de arriba son lo que sí podemos mostrarte, y si tu equipo tiene un cuestionario de seguridad, envíalo y lo respondemos con honestidad.
Escríbenos sobre seguridad