Seguridad y tus datos

Cómo TimTim.Live protege a los socios, a los compradores y sus datos. Todo lo que hay en esta página es cómo funciona hoy.

Claves e inicio de sesión

Te mostramos una clave secreta una sola vez. Solo guardamos una copia revuelta (un hash SHA-256), así que ni siquiera nosotros podemos leerla.
Las claves de prueba y las claves reales están separadas. Las claves de prueba solo ven eventos de muestra y nunca tocan dinero real.
Una clave de sitio web solo funciona en los sitios web que pongas en su lista.
Inicias sesión con un enlace de un solo uso que llega a tu correo. No hay una contraseña de socio que alguien pueda robar.
Cada persona de tu equipo tiene su propio inicio de sesión y solo el acceso que necesita para su trabajo.

OAuth 2.0: cambia tu ID de cliente y tu secreto por un token que dura una hora.
Candado por dirección de servidor: una clave solo funciona desde los servidores que pongas en la lista.
Candado por certificado (mTLS) en api.timtim.live: una clave solo funciona con tu propio certificado TLS.

Todas las direcciones de TimTim.Live usan HTTPS. A los navegadores se les dice que nunca usen HTTP simple con nosotros.

Cada webhook va firmado con HMAC-SHA256 y con la hora en que se envió. Rechaza todo lo que tenga más de cinco minutos.
Tus secretos de webhook se guardan cifrados (AES-256-GCM).
Nunca enviamos mensajes a direcciones de red privadas o internas, y nunca seguimos redirecciones.

Nunca damos a los socios el nombre, el correo, la dirección, el teléfono ni los datos de tarjeta de un comprador.
Los pagos con tarjeta se hacen en la propia página de pago segura de Stripe. Los números de tarjeta nunca llegan a los servidores de TimTim.Live.
Los enlaces de compra van firmados, así que nadie puede falsificar un enlace para quitarte el crédito.

Nuestro servidor principal está en Francia, en Lauterbourg (Contabo).
Estos servicios manejan datos por nosotros: Stripe (pagos), Cloudflare (protección de la red), Contabo (servidores), Oracle Cloud (servidor de respaldo) y Resend (correo).

Historial de entregas de webhooks: 30 días.
Tokens de OAuth terminados: un día, y luego se borran.
Comprobaciones de estado: 90 días.
El uso de la API se cuenta por día. En esos conteos nunca guardamos tus claves ni lo que envías.

Cada minuto revisamos todas las partes públicas desde internet. Puedes ver los resultados en nuestra página de estado.
Nuestro equipo recibe una alerta si el sitio deja de responder.
Para aprobar socios y enviar dinero hace falta un miembro del personal con nombre y con ese permiso. No hay una contraseña compartida para eso.

Todavía no tenemos un informe SOC 2 ni un certificado ISO 27001.
Ninguna empresa de fuera ha probado todavía nuestra seguridad (una prueba de penetración).
No tenemos un programa pagado de recompensas por fallos (bug bounty).
Actualizaremos esta página cuando algo de eso cambie.

Si una clave pudo haberse filtrado, apágala en tu panel. Deja de funcionar al instante. Luego crea una nueva.
¿Encontraste un problema de seguridad? Escribe a [email protected]. Una persona real lee cada aviso.
Por favor, no hagas pruebas con datos de otras personas, y danos tiempo para arreglar un problema antes de contarlo.