Cómo protege Locki tus datos

Los textos y archivos se cifran y descifran en el navegador con AES-256-GCM, mediante la Web Crypto API integrada en todos los navegadores modernos. Cada valor recibe un IV aleatorio nuevo de 12 bytes, así que el mismo texto nunca produce dos veces el mismo texto cifrado.

El texto cifrado se queda donde lo pones (un mensaje de Slack, un correo, un ticket) como una cadena que empieza por [LOCKI:v2:. Sin la clave no se puede leer, ni la aplicación que lo guarda ni nadie más.

Las copias de seguridad de claves que exportas desde la extensión se cifran con una clave derivada de tu contraseña, mediante PBKDF2 con SHA-256 y 600.000 iteraciones.

Las claves personales se generan en tu navegador y se quedan allí. Nunca se envían a Locki.

Las claves del equipo se crean en el panel de administración. En nuestros servidores se guardan cifradas con una clave independiente, así que una copia de la base de datos, por sí sola, no revela nada. Se entregan por TLS solo a los miembros con sesión iniciada de los grupos que tienen acceso. Al rotar una clave se conservan las versiones anteriores, así que el contenido antiguo sigue siendo legible.

Cada cifrado, descifrado y acción de administración queda registrado con la persona, la acción, la clave, la hora y el sitio donde ocurrió. El contenido nunca se registra: ni el texto original ni el texto cifrado.

La biblioteca de cifrado de Locki, @lockisecurity/crypto-core, es pública bajo licencia MIT. Sus pruebas usan los vectores de prueba AES-GCM del NIST de la SP 800-38D, y cualquiera puede leer, ejecutar o reutilizar el código.

Todas las conexiones se cifran con TLS. Cada petición a nuestra API se autentica y se limita a tu organización, las acciones de administración requieren el rol de administrador y las peticiones tienen límites de frecuencia. La gente inicia sesión con su correo de trabajo o su cuenta de Google.

Solo recopilamos lo que el servicio necesita para funcionar. La política de privacidad explica qué tratamos, por qué y durante cuánto tiempo, y cómo ejercer tus derechos según el GDPR.

Si crees que has encontrado un problema de seguridad en Locki, escribe a security@lockisecurity.com con una descripción y los pasos para reproducirlo. Leemos todos los informes, te mantenemos al tanto mientras investigamos y te damos crédito si lo deseas.

Haz pruebas solo con tu propia cuenta, no accedas a datos de otras personas ni los modifiques, y danos un plazo razonable para corregir el problema antes de publicar detalles. El mismo contacto aparece en nuestro archivo security.txt.