Esto es lo que hace Eskolapp para que nadie entre con una cuenta ajena y para que los datos de alumnos, familias y personal no salgan de donde deben estar.
Cookie de sesión que el código de la página no puede leer. Al salir se borra lo guardado.
Todo viaja por HTTPS con certificado vigente. No existe versión sin cifrar.
Firma criptográfica, caducidad y versión. Una sesión robada o vieja deja de valer.
En cada pedido el servidor revisa a qué escuela perteneces y qué puede ver tu rol.
Sin dirección pública: sólo la plataforma la consulta, con consultas parametrizadas.
eskolapp.app y eskolapp.com tienen certificado TLS emitido y renovado automáticamente por la red de Cloudflare. No hay certificados que se venzan por descuido.
Todo dominio .app está en la lista de precarga HSTS de los navegadores: nunca abren la plataforma sin cifrar. Además enviamos Strict-Transport-Security por dos años.
Actas, CURP, justificantes y demás documentos del expediente se guardan en almacenamiento R2 de Cloudflare, cifrado en reposo.
| Contraseñas | Nunca se guardan. Se guarda una derivación PBKDF2-SHA-256 con sal única por persona y 100,000 iteraciones, para que una copia de la base no sirva para entrar. |
|---|---|
| Intentos de entrada | Máximo 10 intentos por minuto por correo. El código de acceso por correo es de 6 dígitos, vence en 15 minutos y se anula después de 5 intentos fallidos. |
| Sesión | Cookie HttpOnly (el código de la página no la puede leer), Secure (sólo viaja cifrada) y SameSite (otros sitios no pueden mandar pedidos en tu nombre). Firmada con una llave secreta de 256 bits y con caducidad de 72 horas. |
| Cambio de contraseña | Cierra la sesión en todos los demás dispositivos al instante. |
| Cerrar en todos lados | Desde «Mi cuenta», un botón invalida todas tus sesiones, por ejemplo si perdiste el teléfono. |
| Bajas y cambios de rol | Al desactivar a una persona o quitarle un rol, pierde el acceso en su siguiente clic: la cuenta y los permisos se revisan en cada pedido, no sólo al entrar. |
| Alta de cuentas | Las cuentas se crean por invitación de la escuela. El panel de la plataforma sólo admite correos autorizados. |
Cada registro pertenece a una escuela. Una cuenta sólo consulta las escuelas donde tiene un rol activo, aunque intente pedir otra.
Antes de mostrar un alumno, una tarea o un archivo, el servidor confirma que la persona es tutor de ese alumno.
Sueldo, RFC, CURP, NSS y cuenta bancaria sólo los ven dirección y administración. Para los demás roles ni siquiera salen del servidor.
Dirección, coordinación, docente, caja, enfermería, tienda, transporte y familia: cada acción revisa el rol en el servidor, no sólo en la pantalla.
Los archivos del expediente no tienen liga pública: se descargan sólo dentro de la plataforma y con la misma revisión de permisos.
El pase para recoger a los hijos usa un código aleatorio que vence (máximo 24 horas) y queda registrado quién salió con quién.
| Sin dirección pública | La base de datos (Cloudflare D1) no tiene servidor, puerto ni contraseña expuestos. Sólo la plataforma la consulta desde dentro de la red de Cloudflare. |
|---|---|
| Consultas parametrizadas | Todo dato que escribe una persona viaja separado de la consulta. Esto bloquea la inyección SQL. |
| Secretos fuera del código | La llave de sesión y las llaves de servicios se guardan como secretos cifrados en Cloudflare, no en el código. La publicación es automática, con un token de alcance limitado. |
| Recuperación | La base cuenta con recuperación a un punto en el tiempo (Time Travel de D1) para restaurar ante un error o un borrado. |
| Cambios sin duplicados | Cada cambio lleva un identificador único. Si se reenvía por falla de red, no se aplica dos veces. |
Entradas a la plataforma, cierres de sesión en todos los dispositivos y cambios importantes quedan registrados con la persona y la hora. Dirección los consulta en la bitácora. Las respuestas a familias se firman solas con el nombre y puesto de quien responde.
Verificación en dos pasos para cuentas de dirección y administración. Si tu escuela tiene requisitos propios de seguridad o de protección de datos, escríbenos.
Te explicamos cómo se protege la información de tu escuela.