Septiembre fue un mes de cerrar puertas sin hacer ruido. Casi todo lo que publicamos es el tipo de trabajo que solo se nota cuando falta: un inicio de sesión que no se puede volver en tu contra, cambios en la verificación en dos pasos que cierran todas tus demás sesiones, cambios de correo y de contraseña que dejan un rastro claro, y archivos subidos sin los datos ocultos que llevan dentro. Añadir a alguien a tu organización empieza ahora con una invitación en lugar de una cuenta, el correo se abre más rápido y las notificaciones por fin llegan en tu idioma. Este es el resumen completo.
Un inicio de sesión que no se puede volver en tu contra
Los intentos fallidos repetidos de inicio de sesión ya no pueden usarse para bloquear a alguien fuera de su propia cuenta. La protección del inicio de sesión limita ahora al origen que realiza los intentos y no a la cuenta atacada, así que conocer una dirección de correo ya no basta para impedir que su propietario inicie sesión. Además, los intentos fallidos caducan en una ventana móvil, de modo que una contraseña mal escrita hace tiempo ya no cuenta para un bloqueo posterior, e iniciar sesión correctamente pone el contador a cero. Los correos de alerta de seguridad sobre cuentas bloqueadas tienen un límite por destinatario, así que no se pueden usar para inundar un buzón. Nos lo comunicaron desde fuera con una prueba de concepto clara y reproducible.
La respuesta al iniciar sesión ya no revela si una dirección de correo pertenece a una cuenta existente, y el registro se comporta ahora de la misma manera. Responde igual tanto si la dirección ya está registrada como si no, y cuando lo está, escribimos a su propietario, así que quien hubiera olvidado que ya tenía cuenta se entera igualmente y puede iniciar sesión en lugar de esperar un enlace de verificación que nunca iba a llegar. Solicitar un nuevo enlace de invitación podía revelar lo mismo y se cambió a la vez. Nos lo comunicaron desde fuera con una prueba de concepto clara y reproducible.
Registro y desvinculación con Google
El registro con Google se completa ahora íntegramente a través del intercambio verificado con Google, así que solo se puede crear una cuenta para una dirección que Google haya confirmado que pertenece a quien se registra. Nos lo comunicaron desde fuera con una prueba de concepto clara y reproducible. El registro y el inicio de sesión con Google tienen ahora límites de velocidad equivalentes a los del registro con correo y contraseña, y las mismas reglas sobre qué dominios de correo pueden usarse para crear una cuenta se aplican también al registro con Google.
Desvincular una cuenta de Google te pide ahora tu contraseña primero y cierra tus demás sesiones una vez hecho. Además recibes un correo siempre que se desvincula una cuenta de Google, así que una desvinculación que no hayas hecho tú es algo de lo que te enteras de inmediato.
Verificación en dos pasos
Al activar o desactivar la verificación en dos pasos ahora cerramos tu sesión en los demás dispositivos, de modo que una sesión que ya estaba abierta no pueda continuar después. Sigues conectado donde hiciste el cambio y te indicamos cuántas sesiones se cerraron. Nos lo comunicaron desde fuera con una prueba de concepto clara y reproducible. Para desactivar la verificación en dos pasos o reemplazar tus códigos de recuperación, ahora te pedimos confirmar tu identidad primero.
El número de móvil que recibe tus códigos de seguridad se cambia ahora en Ajustes de seguridad, donde confirmas tu identidad y luego verificas el nuevo número con un código enviado a él. Tus códigos siguen llegando a tu número actual hasta que confirmas ese código. Cuando el número cambia te avisamos y cerramos tus otras sesiones, de modo que un cambio que no hiciste tú se ve de inmediato, y mientras la verificación en dos pasos esté activa el número ya no se puede editar desde tu perfil. Nos lo comunicaron desde fuera con una prueba de concepto clara y reproducible.
También corregimos que guardar tu perfil desde la aplicación móvil borrara ese mismo número. En una cuenta con la verificación en dos pasos activa, eso dejaba la cuenta sin ningún número al que enviar un código en el siguiente inicio de sesión.
Cambios de correo y restablecimiento de contraseña
Ahora solo funciona el enlace de verificación más reciente para cambiar una dirección de correo. Un enlace que ha sido reemplazado, incluido uno enviado a una dirección escrita por error, ya no puede mover tu cuenta, mientras que corregir una dirección mal escrita y usar el enlace nuevo funciona exactamente como antes. Comunicado a través de nuestro programa de divulgación de vulnerabilidades.
Un cambio de correo pendiente se cancela ahora siempre que cambia tu contraseña, tanto si la cambias en Ajustes de seguridad como si la restableces tras olvidarla, así que recuperar tu cuenta retira también un cambio que ya estaba en curso. Si tenías uno pendiente, vuelve a solicitarlo cuando hayas establecido tu contraseña. Cuando un cambio se completa, la dirección que dejas atrás recibe ahora un mensaje que le indica que ya no se usa para iniciar sesión ni para restablecer la contraseña. Esto se suma al aviso que ya se envía al solicitar el cambio, que llega antes de que el cambio surta efecto.
El límite de correos de restablecimiento de contraseña para una cuenta se respeta ahora se escriba como se escriba la dirección. Antes contaba algunas formas equivalentes de la misma dirección como si fueran cuentas distintas, así que un mismo buzón podía recibir más correos de restablecimiento de los que permitía el límite. Ahora un límite aparte acota cuánto correo de restablecimiento puede generar un mismo origen, y se aplica una breve espera entre solicitudes para la misma cuenta. Ninguna cuenta estuvo en riesgo por esto, ya que solo el enlace de restablecimiento más reciente es válido, y nada cambia en la forma de restablecer tu contraseña. Nos lo comunicaron desde fuera con una prueba de concepto clara y reproducible.
Primero la invitación, después la cuenta
Al añadir a alguien a tu organización ahora siempre se le envía una invitación, y no se crea nada para esa persona hasta que responda. Cuando la dirección todavía no tiene una cuenta de ISO Mate, elegir una contraseña desde la invitación es lo que crea la cuenta y la une a tu organización. Una invitación que nadie responde ya no ocupa un lugar en tu organización ni un puesto en tu suscripción, quien la recibe puede rechazarla, y una dirección que fue invitada pero nunca se unió sigue libre para registrarse por su cuenta. Nos lo comunicaron desde fuera con una prueba de concepto clara y reproducible.
Un rol que permite gestionar usuarios permite ahora también ver los roles de la organización. Asignar un rol significa elegirlo de esa lista, así que un rol que concedía la gestión de usuarios sin ese permiso no podía hacer justo aquello que permite. Los miembros que no son administradores tampoco ven ya un error de permisos al consultar los miembros de la organización. La lista siempre cargaba bien, y el mensaje venía de que la página intentaba cargar también los roles, así que el filtro por rol solo se ofrece ahora a quien puede usarlo.
Archivos sin datos ocultos
Las imágenes y los vídeos que subes ya no conservan los datos ocultos que la cámara guarda en su interior, como el lugar donde se tomó una foto, la fecha y la hora, y el dispositivo y el software utilizados. Esto se aplica en todos los sitios donde se suben archivos, incluidos el logotipo de tu organización, los adjuntos de incidencias, ejecuciones de prueba, tickets y mensajes de chat, las evidencias de cumplimiento, las imágenes insertadas en texto enriquecido y los archivos de los registros personalizados. La imagen en sí queda exactamente igual, así que la calidad es idéntica y nada se vuelve a guardar ni a comprimir. Los archivos subidos antes del cambio también se han limpiado. Nos lo comunicaron desde fuera con una prueba de concepto clara y reproducible.
Los PDF adjuntos se limpian ahora al subirlos. Un PDF puede llevar instrucciones que se ejecutan automáticamente al abrir el archivo, y un documento podía usarlas para mostrar un cuadro de mensaje que parecía venir de ISO Mate, por ejemplo uno que te pedía volver a escribir tu contraseña. Esa capacidad se elimina ahora antes de almacenar el PDF, y un documento que no se puede limpiar de forma segura se rechaza con una explicación. Los adjuntos existentes se limpiaron en la misma versión. Nos lo comunicaron desde fuera con una prueba de concepto clara y reproducible.
Las subidas de archivos en los registros personalizados aceptan ahora solo un conjunto definido de tipos de archivo, igual que los adjuntos en el resto del producto, y se almacenan con un nombre generado en lugar del nombre que tenía el archivo en tu equipo. Los tamaños de archivo que se muestran para las imágenes y los adjuntos subidos también son exactos ahora. Como los archivos se limpian al almacenarse, el tamaño registrado describía el archivo tal como se envió y no tal como se guarda.
Correo más rápido
Conectar un buzón nuevo trae ahora tu correo reciente de inmediato en lugar de todo su historial. Cuando quieras todo, tienes una sincronización completa disponible en los ajustes del buzón para ejecutarla cuando prefieras. Abrir una carpeta de correo también es más rápido, y las carpetas grandes ya no agotan el tiempo de espera.
Ajustes en la mesa de ayuda
El formulario de tickets muestra ahora la descripción al final, debajo del estado, el canal, la prioridad, la categoría, el agente asignado, la fecha de vencimiento y las etiquetas. Esos campos más cortos son los que más se cambian, y ahora se alcanzan sin tener que desplazarse más allá del editor.
Los registros vinculados a un ticket se distinguen más fácilmente. Cada uno muestra su tipo con su propio color, los títulos largos ya no deforman las filas, y el estado de una incidencia, tarea o incidente vinculado aparece como una etiqueta de color en lugar de texto plano.
Mejoras y correcciones
- Notificaciones en tu idioma: las notificaciones en la aplicación llegan ahora en el idioma configurado en tu perfil. Antes se enviaban siempre en inglés, sin tener en cuenta tu preferencia. Las notificaciones de la mesa de ayuda sobre una nueva respuesta de un solicitante también están traducidas.
- Campos de texto largo: las descripciones, las notas, los comentarios y otros campos de texto largo tienen ahora límites de longitud coherentes, así que el contenido demasiado grande se rechaza con un mensaje de validación claro en lugar de recortarse o fallar de forma inesperada al guardar. Los límites coinciden con lo que cada campo puede almacenar realmente, así que el contenido existente no se ve afectado.
- Página vacía en la consola: corregido un problema que podía dejar la consola mostrando una página vacía después de iniciar sesión, con la mayor parte del menú ausente y sin ninguna explicación. La consola te lleva ahora siempre a una página que carga, te avisa cuando no se ha podido confirmar tu acceso y te ofrece reintentarlo.
- Pruebas y suscripciones terminadas: una organización cuya prueba o suscripción ha terminado ve ahora una explicación clara en lugar de una pantalla vacía. Los miembros que no pueden gestionar la facturación se dirigen a un administrador y pueden seguir cambiando a otra organización o cerrando sesión, y nadie queda bloqueado en la página de facturación por la misma comprobación que le pide suscribirse.
- Días de prueba: corregido el número de días restantes de una prueba gratuita, que siempre se quedaba un día corto. Una organización nueva muestra ahora correctamente 14 días en lugar de 13.
- Guardar el perfil: guardar tu perfil con una contraseña actual incorrecta ya no aplica el resto de tus cambios. Antes los demás campos del formulario se guardaban aunque la página informara de que el guardado había fallado.
Seguridad
La mayor parte del trabajo de septiembre fue de seguridad, y los cambios más grandes ya se han descrito arriba. Esto es lo demás.
- Separación de tickets de la mesa de ayuda: se corrigió un fallo por el que crear un ticket de soporte podía devolver datos de un contacto o usuario perteneciente a otra organización. Los solicitantes, responsables y observadores de un ticket se resuelven ahora siempre dentro de tu propia organización. Nos lo comunicaron desde fuera con una prueba de concepto clara y reproducible.
- Menos datos personales en las respuestas de la API: datos como los números de teléfono y los ajustes de seguridad del inicio de sesión ya no se incluyen cuando una persona aparece como responsable, autor o miembro en otras partes del producto. Siguen visibles en tu propio perfil.
- Límite de tokens de API: el límite de tokens de API activos se respeta ahora cuando varias creaciones de tokens llegan en el mismo instante. Antes, una ráfaga de solicitudes simultáneas podía dejar a una cuenta ligeramente por encima del número de tokens activos permitido. Nos lo comunicaron desde fuera con una prueba de concepto clara y reproducible.
- Límite de creación de organizaciones: el límite de cuántas organizaciones puede crear una persona se aplica ahora de forma coherente, también cuando se crean varias en el mismo instante, así que el tope no se puede estirar para acumular pruebas gratuitas adicionales. Comunicado a través de nuestro programa de divulgación de vulnerabilidades.
- Búsqueda: los campos de búsqueda de toda la plataforma tratan ahora los caracteres especiales de un término de búsqueda como texto normal. Antes ciertos caracteres se interpretaban como sintaxis de patrón, así que un término manipulado podía coincidir con todos los registros de una lista y hacer la búsqueda mucho más costosa de lo previsto. La búsqueda en los registros de objetos personalizados recibió el mismo tratamiento, y la forma en que esa búsqueda se realiza internamente se sustituyó por un enfoque más seguro.
- Tamaño de las listas: las listas limitan ahora cuántos registros puede pedir una sola solicitud, y una página o un tamaño de página no válidos ya no hacen fallar la solicitud. Nos lo comunicaron desde fuera con una prueba de concepto clara y reproducible.
- Solicitudes sin sesión iniciada: abrir una dirección web de ISO Mate en un navegador sin haber iniciado sesión devuelve ahora una respuesta clara de “sesión no iniciada” en lugar de un error del servidor. Comunicado a través de nuestro programa de divulgación de vulnerabilidades.
Qué viene ahora
Hay más en camino en toda la plataforma. Si aún no has probado ISO Mate, regístrate para una prueba gratuita de 14 días en isomate.io. Sin tarjeta de crédito, con acceso completo a todo desde el primer día.
¿Tienes comentarios? Escríbenos a support@isomate.io o usa el portal de comentarios integrado en la plataforma. Tu opinión decide lo que construimos a continuación.