Seguridad y privacidad
Qué protege la API, qué datos personales expone cada permiso y qué obligaciones asumes al integrarte.
Credenciales
- Los tokens llevan 240 bits de aleatoriedad criptográfica.
- Guardamos su huella SHA-256, nunca el token. Ni nosotros podemos recuperarlo.
- Revocación inmediata, sin caché ni margen de gracia.
- Caducidad opcional y restricción por IP de origen.
- Toda alta y revocación queda en el registro de auditoría del recinto.
Transporte y aislamiento
- Solo HTTPS. No hay endpoint en claro.
- El recinto se deduce siempre de la credencial: ninguna ruta acepta un identificador de camping.
- Un recurso de otro recinto responde 404, no 403: tampoco confirmamos que exista.
- Límites por clave, por IP y por intentos fallidos, para que probar credenciales no sea gratis.
Qué datos personales expone cada permiso
Esto importa al decidir qué le das a cada sistema, y también si tienes que documentarlo ante una administración:
| Permiso | Datos personales a los que da acceso |
|---|---|
| reservations:read | Nombre del titular, contacto, matrícula, fechas de estancia y, en el detalle, los datos de identidad de los viajeros registrados. |
| reservations:write | Lo anterior más la capacidad de crear reservas y mover su estado. |
| travelers:write | Escribe datos de identidad. No permite leer nada. |
| access:read | Matrículas autorizadas con el nombre del titular, y el histórico de entradas. |
| access:write | Devuelve los datos de la reserva asociada a la matrícula que se consulta. |
| billing:read | Facturas con nombre y NIF del cliente, e importes cobrados. Datos fiscales: dalo solo a quien lleve la contabilidad. |
| customers:read | Ficha completa del cliente: contacto, historial de estancias, gasto acumulado y deuda. Es el permiso más sensible de todos. |
Tus obligaciones al integrarte
Al leer estos datos pasas a tratar datos personales
Una matrícula asociada a un nombre y a unas fechas de estancia es un dato personal, y el histórico de entradas dice dónde estuvo una persona y cuándo. Si los almacenas en tu sistema, necesitas base jurídica, una política de conservación y el encargo de tratamiento correspondiente con el titular del recinto.- Minimiza. Pide el permiso más pequeño que resuelva tu caso; no guardes lo que no vayas a usar.
- No almacenes imágenes de documentos. Nosotros no las queremos ni las guardamos; procesa y descarta también en tu lado.
- Conserva lo justo. Un histórico de accesos indefinido es difícil de justificar.
- Protege la clave como una contraseña: variable de entorno o gestor de secretos, nunca en el repositorio.
Nuestra postura
Hacemos auditoría interna de caja blanca sobre la plataforma con metodología OWASP, con informe de alcance, hallazgos, subsanaciones y verificación posterior. Aplicamos la normativa española de protección de datos, con purga automática de registros por política de retención y exportación y borrado de los datos del interesado.
Si necesitas la documentación formal para un pliego o para tu propio expediente, pídenosla en hola@pernocta.app.
Reportar un problema de seguridad
Escríbenos a hola@pernocta.app con el detalle técnico y cómo reproducirlo. Respondemos en 48 horas laborables. Te pedimos que no publiques el fallo hasta que esté corregido y que no accedas a datos de terceros para demostrarlo.