Cómo protegemos tu conexión bancaria y qué podemos demostrar.
Kasandro lee tus cuentas a través de Enable Banking, solo lectura. Abajo: qué pasa al conectar un banco, quiénes son los proveedores, qué hace el código, cómo informar de un fallo y qué pruebas se hicieron. Lo que funciona va aparte de lo que está planeado.
La conexión bancaria en cinco preguntas
Antes de conectar un banco
- ¿Introduzco aquí la contraseña de mi banco?
- No. Inicias sesión en la página o en la app de tu banco. Kasandro nunca ve tu usuario, contraseña ni número de tarjeta.
- ¿Quién obtiene los datos?
- Enable Banking Oy, proveedor de servicios de información sobre cuentas registrado y supervisado por la FIN-FSA finlandesa. Gestiona el acceso y el consentimiento en tu banco; Kasandro recibe los datos de cuentas que autorizas. A ese paso se aplica su propia política de privacidad.
- ¿Qué datos?
- Solo lectura, solo las cuentas que elijas: movimientos (fecha, importe, contraparte, concepto, y lugar y hora cuando el banco los da), saldo y nombre de la cuenta. Kasandro no puede mover ni un céntimo.
- ¿Durante cuánto tiempo?
- Hasta que termine el consentimiento que da tu banco: los bancos PSD2 conceden 90 o 180 días y nos guiamos por la fecha que devuelve el banco. Una semana antes de que acabe preguntamos si quieres renovar con un toque.
- ¿Cómo lo revoco?
- En Kasandro: desconecta el banco con un toque o «Borrar todo». En tu banco: retira el consentimiento en su app o banca online (los nombres varían). Tras revocarlo, Kasandro deja de leer.
Quién toca tus datos
Abajo los proveedores y lo que publican ellos mismos, tal como lo leímos el 13 de octubre de 2026. Son sus declaraciones, no nuestros certificados.
| Proveedor | Para qué | Qué publica | Su página |
|---|---|---|---|
| Enable Banking Oy | acceso al banco, consentimiento, acceso a las cuentas (PSD2) | En su web dice que es un proveedor de servicios de información sobre cuentas registrado y supervisado por la FIN-FSA finlandesa. En las páginas revisadas no declara certificaciones de seguridad. | enablebanking.com/tpp-infrastructure |
| Netlify | alojamiento del sitio y de la app | En su página de seguridad menciona SOC 2 Type 2 e ISO 27001. | netlify.com/security/ |
| Neon | base de datos | En su página de seguridad menciona SOC 2 Type II e ISO/IEC 27001:2022. | neon.com/security |
| Stripe | pagos de la suscripción | Indica la certificación PCI Service Provider Level 1 e informes SOC 1 y SOC 2 Type II cada año. | docs.stripe.com/security |
| Resend | correo (códigos de acceso, la carta) | Indica tener un informe SOC 2 Type II. | resend.com/security |
| Anthropic, ElevenLabs | asistente, carta, voz | No comprobamos sus certificaciones para esta página, así que no citamos ninguna. Regiones de tratamiento y conservación: página de subencargados. | Subencargados |
Las certificaciones de la tabla son declaraciones de los propios proveedores y cubren sus sistemas; no son certificaciones de Kasandro.
Qué hace el código
Funciona hoy y se puede comprobar en el repositorio:
- Cada respuesta del servidor lleva cabeceras de seguridad (política de contenido, HSTS, sin marcos, nosniff, política de referrer).
- En cada cambio la CI audita las dependencias y detiene el build ante una vulnerabilidad crítica (npm audit a nivel crítico). Bloqueante.
- En cada cambio la CI busca en el código secretos como claves y contraseñas (gitleaks) y detiene el build si encuentra alguno. Bloqueante.
- Análisis estático del código (Semgrep) en cada cambio de código: un hallazgo de gravedad ERROR detiene el build. Bloqueante.
- Un escaneo de todo el historial del repositorio en busca de secretos que funcionan de verdad (TruffleHog los comprueba con el emisor). Bloqueante.
- Un escaneo base de OWASP ZAP (pasivo, sin ataques) del sitio construido en cada cambio de código. Los hallazgos nuevos detienen el build.
- OSV-Scanner compara las dependencias con una base de vulnerabilidades conocidas cuando cambian y cada semana. Los hallazgos nuevos detienen el build.
- Cada semana Dependabot abre pull requests agrupadas con las actualizaciones de dependencias que encontró (dependabot.yml); una rutina semanal consolida todas las abiertas en una sola pull request y trabaja en ella hasta que cada control bloqueante pase; la fusiona una persona.
- Las páginas públicas no tienen inicio de sesión y no tocan datos bancarios.
Diseñado, aún no funciona:
- Transacciones cifradas con una clave del hogar, sin respuestas brutas del banco tras la normalización y sin contenido en los registros.
- Inicio de sesión con un código de un solo uso por correo, sin contraseña de Kasandro.
- Desconectar un banco con un toque y «Borrar todo», copias incluidas en un plazo declarado.
- Kasandro respeta la fecha de fin del consentimiento que devuelve el banco y deja de leer cuando se revoca.
Informar de una vulnerabilidad
¿Has encontrado un fallo? Escribe a support@kasandro.com, nuestra única dirección. Cuenta dónde está y cómo reproducirlo. No envíes datos bancarios ni códigos de acceso: no hacen falta. El archivo security.txt está aquí: security.txt
Pruebas de seguridad
Primeras ejecuciones, 13 de octubre de 2026: Semgrep: 0 hallazgos. OWASP ZAP baseline: 63 comprobaciones superadas, 0 fallidas. TruffleHog, todo el historial del repositorio: 0 secretos. El análisis de dependencias señaló vulnerabilidades conocidas, y actualizamos los paquetes que tenían corrección.
Véase también: Subencargados · Privacidad · Kasandro en tu móvil · Kasandro: qué se comprueba en cada cambio · OWASP ZAP
Kasandro es una herramienta para ver con claridad tus finanzas, no asesoramiento de inversión ni asesoramiento financiero.