Seguridad
Seguridad en Mail.Land
Los controles que aplicamos hoy, redactados para revisiones de seguridad y cuestionarios de proveedores. Solo enumeramos lo que ya está implantado e indicamos lo que todavía no está disponible.
Estado de certificación
Mail.Land no cuenta hoy con ninguna certificación de seguridad: ni certificado ISO 27001, ni informe SOC 2, ni prueba de penetración de terceros publicada. Esta página describe nuestros controles tal como están. Cuando eso cambie, esta página cambiará también.
Controles implantados
Cada elemento siguiente describe un control que hoy funciona en producción.
Alojamiento y red
- Los sistemas de producción funcionan en Hetzner, en Alemania, en Núremberg y Falkenstein. Nuestras bases de datos y servidores de correo están en Núremberg.
- Se conserva una copia de seguridad secundaria cifrada en infraestructura que operamos en Varsovia (Polonia).
- El tráfico web hacia el sitio web, el panel de control y la API pasa por Cloudflare, que ofrece protección contra ataques DDoS.
- Los servidores están protegidos por cortafuegos, y un sistema de detección automatizada (CrowdSec) bloquea los intentos de conexión abusivos en los servidores de la aplicación y de las colas de mensajes.
Cifrado
- Las conexiones al panel de control y a la API utilizan HTTPS.
- El relé SMTP solo acepta el inicio de sesión después de que la conexión se haya cifrado con STARTTLS.
- La entrega a los servidores de correo de los destinatarios utiliza TLS cuando el servidor receptor lo admite.
- Las claves de API se almacenan únicamente como hashes, por lo que no pueden volver a leerse. Las contraseñas se almacenan como hashes bcrypt.
- Los secretos de la autenticación en dos pasos y los secretos de firma de los webhooks se almacenan cifrados.
- Las copias de seguridad externas se cifran antes de salir de nuestros servidores. Nosotros custodiamos las claves; el proveedor de almacenamiento no.
Seguridad de la cuenta
- La autenticación en dos pasos con una aplicación de autenticación está disponible para todos los usuarios, con códigos de recuperación de un solo uso.
- El inicio de sesión único con Google, Microsoft, Okta o cualquier proveedor OpenID Connect está incluido en todos los planes. Puede exigir SSO para su dominio de correo, lo que desactiva el inicio de sesión con contraseña para ese dominio.
- Roles del equipo: Owner, Admin, Member y Viewer.
- Un registro de actividad recoge las acciones realizadas en su cuenta.
- Los intentos de inicio de sesión fallidos repetidos se bloquean temporalmente.
Todavía no disponible
- Una cuenta todavía no puede exigir la autenticación en dos pasos a todos sus miembros; cada usuario la activa por sí mismo.
- No se admiten el inicio de sesión único SAML ni las llaves de acceso (passkeys).
Claves de API
- Cada clave puede limitarse a la API o a SMTP, a determinados dominios de envío y a una lista de direcciones IP permitidas.
- Las claves pueden tener una fecha de caducidad y sus propios límites de frecuencia.
- Cuando rota una clave, la clave anterior sigue funcionando durante el periodo de gracia que usted establezca, para que pueda desplegar la nueva sin interrupción del servicio.
- Una clave de sandbox configurada en modo solo registro le permite hacer pruebas sin entregar ningún correo.
Autenticación del correo
- Solo puede enviar desde un dominio que haya verificado mediante DNS. La verificación comprueba sus registros SPF, DKIM, DMARC y return-path.
- Mail.Land añade su propia segunda firma DKIM a cada mensaje, para que los proveedores de buzones de correo puedan identificar qué plataforma lo envió.
Webhooks firmados
- Las solicitudes de los webhooks de eventos se firman con HMAC-SHA256, mediante un secreto exclusivo de cada webhook.
- La cabecera de la firma incluye una marca de tiempo, para que su endpoint pueda rechazar solicitudes antiguas o reenviadas (ataques de repetición). Nuestra documentación recomienda una ventana de cinco minutos.
Prevención de abusos
- Todos los clientes aceptan nuestra Política de uso aceptable.
- Antes de aprobar una cuenta para el envío, cotejamos la organización y sus titulares reales con las listas oficiales de sanciones.
- Los enlaces de las campañas, y los enlaces con seguimiento cuando se hace clic en ellos, se comprueban con Google Web Risk para detectar phishing y malware.
- Cualquier persona puede denunciar un uso abusivo del servicio mediante nuestro formulario de denuncia de abusos.
Operaciones
- Los servicios de producción se supervisan con métricas, registros y alertas centralizados.
- Las restauraciones de copias de seguridad se ensayan en entornos aislados.
- Nuestras dependencias .NET se analizan en busca de vulnerabilidades conocidas en nuestro proceso de compilación, y un hallazgo de gravedad alta o crítica detiene la compilación.
- El acceso a los sistemas de producción y a los datos personales está limitado a un número reducido de personal autorizado.
Notificación de incidentes y violaciones de datos
Si una violación de datos personales afecta a sus datos, se lo notificamos sin dilación indebida tras tener conocimiento de ella, tal como exige el Artículo 33(2) del RGPD. La notificación se dirige a su contacto de seguridad designado o, si no se ha designado ninguno, a los usuarios Owner y Admin de su cuenta. La Sección 6 del DPA establece el contenido de la notificación y cómo le ayudamos a cumplir sus propias obligaciones.
Notificar una vulnerabilidad
Si encuentra un problema de seguridad en Mail.Land, envíenos un correo electrónico. Incluya los pasos para reproducirlo y las partes del servicio a las que afecta. Procuramos acusar recibo de los informes en un plazo de 72 horas y seguimos un proceso de divulgación coordinada. No tenemos un programa de recompensas por errores (bug bounty) remunerado.
- Contacto de seguridad:
- [email protected]
Cuestionarios de seguridad
Envíe su cuestionario a nuestro contacto de seguridad. Respondemos a partir de los hechos de esta página, del DPA y de nuestra Política de privacidad. Para cuestiones de protección de datos, consulte nuestra página sobre el RGPD.
Preguntas frecuentes
¿Tienen SOC 2 o ISO 27001?
No. Mail.Land no cuenta hoy con ninguna certificación de seguridad. En su lugar, esta página enumera los controles que aplicamos.
¿Dónde se alojan mis datos?
Nuestros sistemas de producción funcionan en Hetzner, en Alemania, con una copia de seguridad cifrada en Varsovia (Polonia). Algunos proveedores, como Cloudflare, Stripe y Google, pueden tratar datos limitados fuera de la UE. Nuestra página sobre el RGPD enumera cada uno de ellos.
¿Podemos imponer la autenticación en dos pasos a nuestro equipo?
Todavía no. Todos los usuarios pueden activar la autenticación en dos pasos y usted puede exigir SSO para su dominio de correo, pero una cuenta todavía no puede imponer la autenticación en dos pasos a todos sus miembros.
¿Admiten SAML?
No. El inicio de sesión único funciona con Google, Microsoft, Okta y cualquier proveedor OpenID Connect.
¿Cómo verifico que un webhook procede de Mail.Land?
Compruebe la cabecera X-MLND-Signature: un HMAC-SHA256 de la marca de tiempo y del cuerpo de la solicitud, con el secreto de su webhook como clave. Nuestra documentación incluye ejemplos en ocho lenguajes.
¿Tiene preguntas sobre seguridad?
Escriba a nuestro contacto de seguridad o lea el DPA para ver la lista completa de medidas.