Seguridad y confianza: Seguridad, explicada con claridad.

Las contraseñas tienen al menos 10 caracteres y se guardan como hash scrypt, nunca en texto plano. Un enlace de restablecimiento funciona una sola vez durante una hora, y al establecer una contraseña nueva se cierra la sesión en todos los demás dispositivos.

Códigos de una app de autenticación, con códigos de respaldo de un solo uso, en todos los planes. Con la verificación en dos pasos activada, ya no se envían enlaces de inicio de sesión por email.

Email y contraseña, un enlace de inicio de sesión de un solo uso por email válido durante 15 minutos, Google o GitHub. Todas las cuentas confirman su dirección de email, y una cuenta de un proveedor solo se vincula a una existente cuando el proveedor indica que la dirección está verificada.

Una sesión dura 30 días y se renueva mientras usas la app. En Account aparecen todos los dispositivos con la sesión iniciada y puedes cerrar la de cualquiera. Los intentos de inicio de sesión tienen un límite de frecuencia.

Owner: todo, incluida la facturación y la eliminación del espacio de trabajo. Admin: miembros, proyectos y toda la monitorización. Member: monitores, páginas de estado y alertas. Viewer: solo lectura. El servidor comprueba el rol en cada cambio.

Un owner o admin puede exigir la autenticación en dos pasos. Los miembros que inician sesión con contraseña tienen que configurar una app de autenticación antes de poder abrir el espacio de trabajo; los inicios de sesión con Google y GitHub se apoyan en la verificación en dos pasos del propio proveedor.

Los cambios en monitores, miembros, facturación y claves de API, con quién los hizo y cuándo. Los owners y admins pueden consultarlo y exportarlo en CSV.

Cada clave es de solo lectura o de lectura y escritura, pertenece a un espacio de trabajo y está limitada a 120 peticiones por minuto. Una clave de escritura deja de escribir cuando la persona que la creó ya no es owner ni admin.

Los paneles de cliente dan a un cliente acceso de solo lectura a un proyecto con su propio inicio de sesión. Ve la disponibilidad y las incidencias, nunca los ajustes de los monitores, los tokens ni los destinos privados.

Las alertas por webhook llevan una firma HMAC-SHA256, para que tus propios sistemas puedan comprobar que vienen de Uptimecheck.

La disponibilidad, los tiempos de respuesta y las incidencias se conservan 1, 2 o 3 años en Start, Professional y Business, y después se eliminan. Cada comprobación individual, con sus detalles, se conserva 30 días en todos los planes, y las capturas de las incidencias, 90 días.

Al eliminar un espacio de trabajo se borran sus proyectos, monitores, páginas de estado e historial, y se cancela su suscripción. La eliminación de tu cuenta se confirma con un enlace que se envía a tu email. Los datos eliminados desaparecen de nuestras copias de seguridad a medida que caducan, en un plazo de 30 días.

Las estadísticas de las páginas de estado cuentan las visitas por país, referente y dispositivo sin cookies, y las direcciones IP nunca se guardan.

El proceso de pago y el portal de facturación están alojados en Stripe. Los datos de la tarjeta van directamente a Stripe; nosotros nunca vemos ni guardamos números de tarjeta.

Cada cambio pasa por linting, comprobación de tipos, tests unitarios, tests de Go y la batería completa de tests end-to-end. Solo llegan al servidor las builds que los superan, y un despliegue que no pasa su comprobación de estado se revierte solo.

Revisamos las dependencias con pnpm audit y aplicamos las versiones de seguridad en cuanto salen, como las correcciones de Next.js 16.4.2 de octubre de 2026.

El servidor solo acepta claves SSH, nunca contraseñas. Los secretos de producción están en el servidor, nunca en el repositorio de código.

Cada dirección a la que se conecta una comprobación o un webhook se contrasta con los rangos privados e internos, también después de la consulta DNS, para que los monitores no puedan usarse para sondear sistemas internos.

El agente de servidor solo instala versiones firmadas con nuestra clave ed25519, y nunca una versión anterior a la que ejecuta.

Un watchdog independiente en Cloudflare comprueba el estado de la app cada minuto y nos avisa por email y SMS cuando algo falla.