Tus documentos, cifrados en Europa. Y cada acceso, anotado.

1. 01

   Viaja cifrado

   Sale de tu dispositivo por una conexión cifrada: la web y el portal solo aceptan TLS 1.2 o superior, y el navegador tiene orden de no conectar nunca sin cifrar (HSTS). El permiso para subirlo va firmado, caduca a los diez minutos y solo vale para un archivo de ese tamaño exacto.

2. 02

   Pasa el antivirus

   Llega primero a una antesala aislada, en la región de AWS en España y sin acceso público. Allí lo analiza el antivirus de AWS (GuardDuty Malware Protection). Si está infectado, se borra; si en una hora no hay veredicto, no entra.

3. 03

   Se guarda cifrado, en la UE

   Ya limpio, pasa a Cloudflare R2, a un espacio con restricción jurisdiccional a la Unión Europea: Cloudflare garantiza que los archivos se guardan dentro de la UE. Allí queda cifrado en reposo con AES-256, también sus metadatos. La copia de la antesala se borra.

4. 04

   Solo lo abre quien debe

   Cada despacho está aislado en la base de datos: las tablas de expedientes y documentos rechazan, por sí mismas, las filas de otro despacho. Para abrir un documento hace falta una sesión con permiso sobre ese expediente, y el enlace de descarga se firma en ese momento y caduca a los 120 segundos.

5. 05

   Y queda anotado

   Cada vez que alguien abre o descarga un documento queda escrito en un registro de auditoría encadenado con SHA-256: cada línea lleva la huella de la anterior, así que tocar una rompe la cadena. Si el registro no se puede escribir, el documento no se abre.

• Aislamiento

  Cada despacho, en su compartimento

  La separación entre despachos no depende de que el programa se acuerde de filtrar: la impone la propia base de datos, con seguridad a nivel de fila forzada incluso para el dueño de las tablas de expedientes y documentos. Una vigilancia automática comprueba que sigue en pie.

• Acceso

  Sin contraseñas que robar

  Se entra con un código de seis dígitos que llega al correo: de un solo uso, válido quince minutos y con tres intentos. Hay límites por hora para cada correo y cada procedencia, y la respuesta es la misma exista o no la cuenta. Códigos y sesiones se guardan solo como huella (HMAC-SHA-256).

• Segundo factor

  Un segundo candado donde hace falta

  Con una aplicación de autenticación (TOTP) y ocho códigos de recuperación. Es obligatorio para la administración de la plataforma y para los despachos que lo exijan a su equipo, y se pide al entrar en los expedientes.

• Base de datos

  En España y cerrada a internet

  La base de datos está en la región de AWS en España, en subredes privadas sin acceso desde internet y cifrada con una clave propia. No tiene contraseña que se pueda filtrar: se entra con credenciales temporales de AWS que caducan a los quince minutos.

• Copias

  Copias que se pueden recuperar

  Copia continua de catorce días, para volver a cualquier instante, y una copia diaria que se guarda treinta y cinco días, duplicada en otra región, en Irlanda. Todas cifradas. La credencial con la que publicamos no puede borrar ni la base, ni las copias, ni la clave.

• Secretos

  Las claves, fuera del código

  Las claves de los servicios viven en AWS Secrets Manager, no en el código. Las más delicadas —el secreto del segundo factor, las claves de IA de cada despacho— van, además, cifradas dentro de la base de datos.

• Borde

  El portal, detrás de Cloudflare

  El portal se sirve a través de la red de Cloudflare y rechaza cualquier petición que intente entrar por otro camino: solo atiende las que llegan con el sello que pone Cloudflare.

• Navegador

  Cabeceras que cierran puertas

  Una política de seguridad de contenidos estricta (no se carga nada que no esté autorizado), prohibido incrustar el portal en otra web y galletas de sesión que solo viajan cifradas y que ningún script puede leer.

• Integridad

  Lo que se firma, con su huella

  Las hojas de encargo y los contratos que genera la plataforma llevan su huella SHA-256, que se comprueba al pedir la firma y al firmar. La firma electrónica (artículo 25.1 del Reglamento eIDAS) se confirma con un código de un solo uso.

Todo lo que dice esta página se comprobó el 10 de octubre de 2026 en el código de la plataforma, en la configuración en vivo de AWS y en las páginas oficiales de cada proveedor.