Día 9 · Seguridad
Cómo protegemos tu información
Lo que escribes en Día 9 es lo más íntimo que puedes confiarnos. Aquí contamos, sin tecnicismos, qué hacemos para que nadie más pueda leerlo, tampoco nosotros. Y también lo que sí vemos, para que sepas dónde está cada cosa.
- Se cifra en tu navegadorNos llega ya cifrado, con una llave que solo tienes tú.
- Tu contraseña no sale de élRecibimos una prueba de que la sabes, nunca la contraseña.
- Te vas con todoDescargas tus datos ya abiertos y borras tu cuenta cuando quieras.
Lo esencial
No podemos leer lo que escribes
Imagina que te guardamos una caja fuerte cerrada. La caja está en nuestra casa, pero la combinación solo la sabes tú. Podemos cuidarla, hacer copias de la caja y devolvértela cuando la pidas. Abrirla, no.
Eso es el cifrado de extremo a extremo. Tus respuestas se cifran en tu navegador antes de salir hacia nosotros y solo tu navegador las vuelve a abrir. En medio, y en nuestro servidor, son un texto que no se puede leer.
- 01
Al crear tu cuenta, tu navegador crea una llave
Es una llave al azar que nace en tu ordenador o en tu móvil. Nunca nos llega tal cual.
- 02
La llave se guarda cerrada, dos veces
Una copia va cerrada con tu contraseña y otra con tu clave de recuperación. Esas dos copias cerradas son lo único que tenemos de tu llave, y no sabemos abrirlas.
- 03
Lo que escribes sale de tu navegador ya cifrado
Antes de enviarnos una respuesta, tu navegador la cifra con tu llave. Nos llega un texto ilegible y además relleno, para que ni su largo diga si has escrito una palabra o una página.
- 04
Solo tu navegador lo vuelve a abrir
Cuando entras, tu navegador abre la llave con tu contraseña y descifra tus respuestas en tu pantalla. En nuestro servidor siguen cerradas.
Sin letra pequeña
Lo que vemos y lo que no
Para que tu cuenta funcione, para avisarte y para saber cuánta gente usa Día 9, guardamos algunos datos que sí podemos leer. Son estos, y ninguno dice nada de lo que escribes.
Lo que vemos
- Tu correo y, si nos lo das, tu nombre.
- Tu fecha de nacimiento y tu horizonte de vida, con los que se calcula tu reloj.
- Tu plan. Los datos de pago los recibe Stripe, la empresa que cobra: nosotros no vemos tu tarjeta.
- Fechas: cuándo creaste la cuenta, cuándo entraste por última vez y cuándo anotaste en tu bitácora.
- Cuántas respuestas tienes y en qué días, o cuántas personas has añadido. Nunca qué dicen ni cómo se llaman.
Lo que no podemos leer
- Tus respuestas, de cualquier día.
- Lo que decían antes, en tu historial.
- Tu bitácora: lo que anotas sobre tus áreas, tu primer paso y tus notas.
- Los nombres y los datos de las personas que añades.
- Tu contraseña, tu llave y tu clave de recuperación.
Tu llave es tuya
Tu contraseña y tu clave de recuperación
Tu contraseña no sale de tu navegador. Con ella, tu navegador calcula dos cosas distintas: una prueba de que la sabes, que es lo que nos envía, y la llave que abre tus datos, que se queda contigo. Ni siquiera la prueba la guardamos tal cual.
La clave de recuperación son 32 letras y números que te damos una sola vez, al crear tu cuenta. Si un día olvidas la contraseña, con el enlace que te enviamos por correo y esta clave creas otra sin perder nada. Guárdala en tu gestor de contraseñas o en papel, en un sitio seguro. Si la pierdes, crea otra desde tu cuenta: la anterior dejará de servir.
Lo que hay que saberSi pierdes las dos, la contraseña y la clave de recuperación, nadie puede abrir lo que escribiste, tampoco nosotros. Podrás crear una contraseña nueva y seguir con tu cuenta, pero empezarás de cero.
Si alguien lo intenta
Cómo protegemos tu cuenta
Verificación en dos pasos, si la quieres
Desde tu cuenta puedes pedir que, además de la contraseña, te pidamos un código de una aplicación de tu móvil. Si alguien supiera tu contraseña, sin tu móvil no entraría. Si pierdes el móvil, entras con uno de tus códigos de respaldo.
Un freno a quien prueba contraseñas
Tras cinco intentos fallidos con tu correo, la entrada se frena 15 minutos. Además, tu navegador tarda un segundo en preparar cada intento a propósito, y probar contraseñas a ciegas sale carísimo.
Te avisamos de cada cambio
Si cambia tu contraseña, tu clave de recuperación o tu verificación en dos pasos, te llega un correo con un botón «No he sido yo». Con él creas una contraseña nueva y se cierran todas las sesiones abiertas.
Cambiar la contraseña cierra las demás sesiones
Si te dejaste la cuenta abierta en otro sitio, al cambiar la contraseña ese dispositivo deja de tener acceso.
Enlaces que sirven una vez
El enlace para crear una contraseña nueva caduca en una hora y solo sirve una vez.
Al salir, la llave se va
Cuando sales de tu cuenta, la llave se borra de ese navegador. Si usas un ordenador compartido, sal siempre al terminar.
En nuestra casa
Y si alguien entrara en nuestros servidores
Lo pensamos al revés: qué encontraría alguien que consiguiera entrar donde guardamos tus datos.
- Encontraría tus respuestas cifradas y sin la llave para abrirlas. No guardamos ninguna copia de tu llave, ni una llave maestra, ni una puerta trasera.
- Las copias de seguridad de cada noche también van cifradas, y la clave que las abre no está en el servidor.
- El servidor está en la Unión Europea, y todas las conexiones van cifradas (HTTPS).
- La web no carga nada de otros sitios: ni anuncios, ni rastreadores, ni estadísticas de terceros. Y tu navegador tiene orden de no ejecutar ningún código que no sea el nuestro.
- Quien administra Día 9 ve cuentas y recuentos, nunca respuestas. Entra siempre con su contraseña y un código de su móvil. Dar acceso a alguien más al equipo pide contraseña, avisa a todo el equipo por correo y queda registrado.
Tus datos, contigo
Te vas cuando quieras, con todo
Desde tu cuenta descargas todo lo que guardamos de ti. El fichero se prepara en tu navegador, que abre tus respuestas, así que te llega ya abierto y listo para leer o para llevarlo a otro sitio.
Y puedes borrar tu cuenta en cualquier momento. Se borra al momento todo lo tuyo, y la llave desaparece también de tu navegador. Las copias de seguridad caducan solas, y con ellas desaparece lo que quedara.
Los límites
Lo que no podemos prometer
Nunca prometemos más de lo que es verdad. Esto es lo que todavía no hacemos o lo que ningún cifrado arregla.
- Si pierdes tu contraseña y también tu clave de recuperación, nadie puede abrir lo que escribiste, tampoco nosotros. Puedes crear una contraseña nueva, pero empezarás de cero. Es el precio de que nadie más pueda leerlo.
- La verificación en dos pasos protege la entrada, no lo que ya está abierto. Si te dejas la sesión abierta en un dispositivo ajeno, sal o cambia tu contraseña.
- Ningún cifrado protege lo que se ve en una pantalla. En un dispositivo con un programa espía, o con alguien mirando, lo que abres se puede ver.
Dudas
Preguntas que nos hacen
¿Usáis lo que escribo para anuncios o para entrenar una inteligencia artificial?
No. No podemos leerlo, y no vendemos ni cedemos tus datos a nadie.
¿Y si alguien os obliga a entregar mis respuestas?
Solo podríamos entregar lo que tenemos, que son tus respuestas cifradas. Sin tu llave, nadie puede abrirlas.
¿Qué ve mi familia si estamos en el plan Sabiduría?
Cada persona tiene su cuenta y su llave, así que nadie de tu familia ve tus respuestas. Con un menor, quien lo supervisa ve cuándo entra y cuánto tiempo está, nunca lo que escribe.
¿Qué hago si pierdo el móvil?
Entra desde otro dispositivo y cambia tu contraseña. Se cierran las demás sesiones, y sin sesión ese móvil ya no recibe tus respuestas. Si tenías la verificación en dos pasos, entra con uno de tus códigos de respaldo y configúrala en el móvil nuevo. Si has perdido también los códigos, escríbenos a hola@dia9.es desde el correo de tu cuenta y te la quitamos para que entres con tu contraseña.
¿Por qué tarda un poco en entrar?
Es tu navegador protegiendo tu contraseña. La transforma de una forma lenta a propósito, para que a quien quiera adivinarla le cueste muchísimo cada intento.
¿Y si Día 9 cierra o cambia de manos?
Tus respuestas seguirían cifradas con tu llave. Y si algo cambia en cómo tratamos tus datos, te lo diremos antes. Siempre puedes descargarlas y borrar tu cuenta.
¿Usáis cookies?
Solo la de la sesión, que hace falta para que sigas dentro mientras usas Día 9. Ninguna de publicidad ni de seguimiento.
Los detalles técnicos, para quien los quiera
- Cifrado de extremo a extremo con WebCrypto en el navegador: AES-256-GCM, con cada dato atado a su sitio (datos adicionales) para que una respuesta movida a otra pregunta no se abra.
- Relleno Padmé antes de cifrar: lo cifrado tiene uno de pocos tamaños posibles, con un mínimo de 128 bytes y nunca más de un 12 % de relleno.
- La contraseña se deriva en el navegador con Argon2id (64 MiB, 3 pasadas). De ahí salen, con HKDF, dos claves independientes: la prueba que recibe el servidor, que guarda con bcrypt, y la que envuelve la llave de datos.
- La llave de datos son 32 bytes al azar. Va envuelta con la contraseña y con una clave de recuperación de 160 bits. En el navegador vive en IndexedDB como claves de WebCrypto que no se pueden exportar.
- Para saber si una respuesta ha cambiado sin leerla, el servidor compara huellas HMAC-SHA-256 hechas con una clave que sale de la llave de datos.
- La sesión va en una cookie __Host- (solo HTTPS, sin dominio, SameSite=Lax) firmada con HS256, y se abre con un billete de un solo uso cuando la llave ya está en el navegador.
- Verificación en dos pasos con TOTP (RFC 6238: HMAC-SHA-1, pasos de 30 segundos y seis cifras), sin aceptar dos veces el mismo código. El secreto se guarda cifrado con AES-256-GCM y una clave del servidor que no está en la base de datos, y de los diez códigos de respaldo solo guardamos su HMAC. Hasta comprobar el código no se emite el billete de la sesión ni se entrega la llave envuelta.
- Política de seguridad de contenidos con un nonce nuevo en cada petición y 'strict-dynamic', sin scripts en línea ni eval. HSTS en todos los subdominios.
- Límites de intentos en la base de datos, contados de forma que muchas peticiones a la vez no se cuelan, y las direcciones IPv6 por su /64.
Todo el detalle legal, con para qué usamos cada dato y cuánto tiempo lo guardamos, está en la política de privacidad.