Seguridad
Angaro está diseñado para que pase lo mínimo por nuestros servidores, y lo que se guarda allí sea ilegible para nosotros.
Cifrado de extremo a extremo
A partir de tu contraseña se deriva en tu dispositivo una clave con PBKDF2-SHA256 (210.000 iteraciones). Contactos, ajustes y cuentas de correo con contraseñas se cifran con AES-256-GCM antes de salir de tu dispositivo. Nuestro servidor nunca recibe tu contraseña, solo un hash de acceso derivado, que además guarda con scrypt.
Tus correos se quedan contigo
Las apps obtienen los correos directamente de tu proveedor y los guardan en tu dispositivo. El webmail se conecta a tu servidor de correo en cada acción y no guarda credenciales ni contenidos; una conexión abierta se mantiene en memoria como máximo 5 minutos.
Servidores en la UE
Angaro Cloud funciona en Fráncfort del Meno, el servicio push en Núremberg y las copias de seguridad están en Francia. Angaro se opera en Austria y está sujeto al RGPD.
Safety Check
Cada correo se comprueba en busca de remitentes falsificados (SPF, DKIM, DMARC), dominios imitados, enlaces sospechosos, datos bancarios cambiados y adjuntos peligrosos. Para la lista de dominios de phishing conocidos solo se consultan los primeros caracteres de un hash SHA-256: Angaro no ve los enlaces de tus correos.
Push sin acceso al contenido
Para las notificaciones, tus credenciales se sellan en tu dispositivo para la clave del servicio push (ECIES con P-256 y AES-256-GCM). Solo ese servicio puede abrirlas. Remitente y asunto se entregan cifrados para tu dispositivo.
Correos cifrados (PGP)
Las claves PGP se crean en tu dispositivo. La clave privada solo se sincroniza cifrada de extremo a extremo; el cifrado y descifrado se realizan exclusivamente en tu dispositivo.
Servidores reforzados
HTTPS con HSTS en todas partes, los correos se muestran sin scripts ni formularios en un marco aislado, las conexiones a la red interna están bloqueadas y los inicios de sesión y consultas están limitados contra intentos repetidos. Las dependencias se revisan periódicamente en busca de vulnerabilidades conocidas.
Informar de una vulnerabilidad
¿Has encontrado una vulnerabilidad? Escríbenos a support@angaro.io con el asunto «Security» y una breve descripción de cómo reproducirla. Responderemos lo antes posible y te mantendremos informado hasta que esté solucionada.
No accedas a datos de otras personas, no modifiques ni borres nada y no sobrecargues nuestros servicios (sin ataques de denegación de servicio). Si respetas estas reglas y nos informas primero, no tendrás que temer acciones legales por nuestra parte.
Legible por máquinas: angaro.io/.well-known/security.txt
support@angaro.io