NEXO CONTABLESeguridad en Nexo Contable
Cómo protegemos su información y cómo reportarnos una vulnerabilidad.
Controles
- Acceso: contraseñas con scrypt y bloqueo de contraseñas comunes; verificación en dos pasos con códigos de recuperación (la empresa puede exigirla a todos); bloqueo por intentos fallidos; cierre de sesión por inactividad; sesiones visibles y revocables por el usuario.
- Alertas: correo cuando se entra desde un dispositivo nuevo y ante cambios de contraseña, verificación en dos pasos o códigos de acceso.
- Cifrado: HTTPS obligatorio (HSTS); certificados digitales, claves técnicas, PIN y secretos de la verificación en dos pasos cifrados con AES-256-GCM; códigos de integración guardados sólo como huella (hash); copias de respaldo cifradas con AES-256-GCM.
- Aislamiento: cada empresa tiene su propia base de datos; roles y permisos por módulo; códigos de integración con alcance restringido.
- Aplicación: Content-Security-Policy estricta, protección contra CSRF y clickjacking, límite de solicitudes por IP, consultas parametrizadas y una sola dependencia externa en el servidor (el conector opcional de inteligencia artificial), lo que reduce el riesgo de cadena de suministro.
- Trazabilidad: registro de auditoría de cada cambio y de cada acceso, visible para el administrador de la empresa; cada usuario ve la actividad de su cuenta.
- Sus datos: descarga completa en cualquier momento (base de datos o Excel), eliminación de la cuenta y de la empresa.
Nunca le pediremos
Su contraseña, sus códigos de verificación, el token de la DIAN ni datos de tarjetas, por correo, chat, WhatsApp o teléfono. Si recibe un mensaje así, no responda y repórtelo.
Divulgación responsable
Si encuentra una vulnerabilidad, escríbanos a seguridad@nexocontable.com.co con la descripción, los pasos para reproducirla y el impacto.
- Confirmamos el recibo en máximo 2 días hábiles y le informamos el plan de corrección en máximo 10 días hábiles.
- Puerto seguro: no emprenderemos acciones legales contra quien investigue de buena fe dentro de estas reglas, y le daremos crédito público si lo desea.
- Reglas: no acceda, modifique ni descargue datos de otros usuarios (use sus propias cuentas de prueba); no haga pruebas de denegación de servicio, ingeniería social ni phishing; no divulgue el hallazgo antes de que esté corregido.
También en /.well-known/security.txt.