Seguridad
- Los intentos de inicio de sesión fallidos repetidos ya no pueden usarse para bloquear a alguien fuera de su propia cuenta. La protección del inicio de sesión ahora limita al origen que realiza los intentos y no a la cuenta atacada, así que conocer una dirección de correo ya no basta para impedir que su propietario inicie sesión. Nos lo comunicaron externamente con una prueba de concepto clara y reproducible.
- La respuesta al iniciar sesión ya no revela si una dirección de correo pertenece a una cuenta existente.
- Los intentos fallidos de inicio de sesión caducan ahora en una ventana móvil, así que una contraseña mal escrita hace tiempo ya no cuenta para un bloqueo posterior, e iniciar sesión correctamente pone el contador a cero.
- Los correos de alerta de seguridad sobre cuentas bloqueadas tienen ahora un límite por destinatario, así que no se pueden usar para inundar un buzón.
- El registro con Google se completa ahora íntegramente a través del intercambio verificado con Google, así que solo se puede crear una cuenta para una dirección que Google haya confirmado que pertenece a quien se registra. Nos lo comunicaron externamente con una prueba de concepto clara y reproducible.
- El registro y el inicio de sesión con Google tienen ahora límites de velocidad equivalentes a los del registro con correo y contraseña, y las mismas reglas sobre qué dominios de correo pueden usarse para crear una cuenta se aplican ahora también al registro con Google.
- Al activar o desactivar la verificación en dos pasos ahora cerramos tu sesión en los demás dispositivos, de modo que una sesión que ya estaba abierta no pueda continuar después. Sigues conectado donde hiciste el cambio y te indicamos cuántas sesiones se cerraron. Nos lo reportaron externamente con una prueba de concepto clara y reproducible.
- Para desactivar la verificación en dos pasos o para reemplazar tus códigos de recuperación ahora te pedimos confirmar tu identidad primero.
- Cambiar el número de móvil que recibe tus códigos de verificación en dos pasos se hace ahora en Ajustes de seguridad, donde confirmas tu identidad y luego verificas el nuevo número con un código enviado a él. Tus códigos siguen llegando a tu número actual hasta que confirmas ese código. Te avisamos cuando el número cambia y cerramos tus otras sesiones, de modo que un cambio que no hiciste tú se ve de inmediato. El número ya no se puede editar desde tu perfil mientras la verificación en dos pasos esté activa. Nos lo comunicaron externamente con una prueba de concepto clara y reproducible.
- Corregido que guardar tu perfil desde la aplicación móvil borraba el número de móvil al que se envían tus códigos de seguridad. En una cuenta con la verificación en dos pasos activa, eso dejaba la cuenta sin ningún número al que enviar un código en el siguiente inicio de sesión.
- Un enlace de verificación para cambiar tu dirección de correo ya no se puede usar una vez que se ha solicitado un cambio más reciente. Solo funciona el enlace más reciente, así que un enlace que ha sido reemplazado, incluido uno enviado a una dirección escrita por error, ya no puede mover tu cuenta. Corregir una dirección mal escrita y usar el enlace nuevo funciona exactamente como antes. Comunicado a través de nuestro programa de divulgación de vulnerabilidades.
- Un cambio de correo pendiente se cancela ahora cuando cambia la contraseña de tu cuenta, tanto si la cambias en Ajustes de seguridad como si la restableces tras olvidarla. Antes un cambio pendiente sobrevivía, así que recuperar tu cuenta no retiraba un cambio que ya estaba en curso. Si tenías uno pendiente, vuelve a solicitarlo cuando hayas establecido tu contraseña.
- Confirmar un cambio de correo ahora avisa a la dirección que dejas atrás. El aviso existente se envía cuando se solicita el cambio, que es antes de que surta efecto, así que esto añade un mensaje al completarse que informa a la dirección anterior de que ya no se usa para iniciar sesión ni para restablecer la contraseña.
- El límite de correos de restablecimiento de contraseña que se pueden solicitar para una cuenta se aplica ahora de forma coherente. Antes contaba algunas formas equivalentes de la misma dirección como si fueran cuentas distintas, así que para un mismo buzón podían generarse más correos de los que permitía el límite. El límite sigue ahora a la cuenta, sea como sea que se escriba la dirección, un límite aparte acota cuánto correo de restablecimiento puede generar un mismo origen, y se aplica una breve espera entre solicitudes para la misma cuenta. Ninguna cuenta estuvo en riesgo por esto, ya que solo el enlace de restablecimiento más reciente es válido, y nada cambia en la forma de restablecer tu contraseña. Nos lo comunicaron externamente con una prueba de concepto clara y reproducible.
- Desvincular una cuenta de Google ahora te pide confirmar tu contraseña primero, y cierra tus demás sesiones una vez hecho. Recibirás un correo siempre que se desvincule una cuenta de Google, así que una desvinculación que no hayas hecho tú es algo de lo que te enteras de inmediato.
- Se corrigió un fallo por el que crear un ticket de soporte podía devolver datos de un contacto o usuario perteneciente a otra organización. Los solicitantes, responsables y observadores de un ticket ahora se resuelven siempre dentro de tu propia organización. Nos lo comunicaron externamente con una prueba de concepto clara y reproducible.
- Se redujo la información personal incluida en las respuestas de nuestra API. Datos como los números de teléfono y los ajustes de seguridad de inicio de sesión ya no se incluyen cuando una persona aparece como responsable, autor o miembro en otras partes del producto, y siguen visibles en tu propio perfil.
- Reforzamos el límite de tokens de API para que se respete cuando varias creaciones de tokens llegan en el mismo instante. Antes, una ráfaga de solicitudes simultáneas podía dejar a una cuenta ligeramente por encima del número de tokens activos permitido. Nos lo comunicaron externamente con una prueba de concepto clara y reproducible.
- Los campos de búsqueda de toda la plataforma tratan ahora los caracteres especiales de un término de búsqueda como texto normal. Antes ciertos caracteres se interpretaban como sintaxis de patrón, así que un término manipulado podía coincidir con todos los registros de una lista y hacer la búsqueda mucho más costosa de lo previsto.
- La búsqueda en los registros de objetos personalizados recibió el mismo tratamiento, y la forma en que esa búsqueda se realiza internamente se sustituyó por un enfoque más seguro.
Mejoras
- Los campos de texto largo, como las descripciones, las notas y los comentarios, tienen ahora límites de longitud coherentes, así que el contenido demasiado grande se rechaza con un mensaje de validación claro en lugar de recortarse o fallar de forma inesperada al guardar. Los límites coinciden con lo que cada campo puede almacenar realmente, así que el contenido existente no se ve afectado.
Correcciones
- Corregido un problema que podía dejar la consola mostrando una página vacía después de iniciar sesión, con la mayor parte del menú ausente y sin ninguna explicación. La consola te lleva ahora siempre a una página que carga, te avisa cuando no se ha podido confirmar tu acceso y te ofrece reintentarlo.
- Una organización cuya prueba o suscripción ha terminado ve ahora una explicación clara en lugar de una pantalla vacía. Los miembros que no pueden gestionar la facturación se dirigen a un administrador, y pueden seguir cambiando a otra organización o cerrando sesión.
- Los miembros de una organización sin suscripción activa ya no quedan bloqueados en la página de facturación por la misma comprobación que les pide suscribirse.
- Guardar tu perfil con una contraseña actual incorrecta ya no aplica el resto de tus cambios. Antes los demás campos del formulario se guardaban aunque la página informara de que el guardado había fallado.
- Las notificaciones en la aplicación llegan ahora en el idioma configurado en tu perfil. Antes se enviaban siempre en inglés, sin tener en cuenta tu preferencia de idioma.
- Las notificaciones de la mesa de ayuda sobre una nueva respuesta de un solicitante están ahora traducidas en lugar de estar solo en inglés.