BORRADOR pendiente de validación por abogado. Los datos en naranja están por verificar.
1. Qué se hace
Conexión cifrada (HTTPS) obligatoria: lo que llega por http se redirige a https, el navegador recuerda usar siempre https y la cookie de sesión solo viaja cifrada.
Cabeceras de seguridad en todas las páginas: nadie puede meter Aularium dentro de otra web, solo se cargan archivos del propio dominio y no se envía la dirección a otras webs.
Contraseñas con hash (bcrypt) y cambio obligatorio en el primer acceso.
Límite de intentos de acceso por IP y por correo. La respuesta tarda lo mismo exista o no la cuenta, para no revelar qué correos tienen cuenta.
Al cambiar o recuperar la contraseña se cierran las sesiones abiertas en otros dispositivos y se anula «Mantener la sesión en este dispositivo».
Cuenta Evalum (opcional, solo personal docente): Aularium solo la activa si la persona marca «Usar esta cuenta también en Evalúat», y solo enlaza una cuenta con Evalúat, o cambia allí la contraseña, si la persona demuestra que es suya: con el enlace «Confirma tu correo» o entrando con su contraseña de Evalúat. Si la cuenta está enlazada y Evalúat rechaza la contraseña, no vale la antigua de Aularium. La cuenta de administración de la plataforma nunca entra con la Cuenta Evalum.
Justificantes cifrados en una carpeta privada que no es accesible desde internet. Solo los ve y los descarga la jefatura del propio centro, y cada consulta o descarga queda registrada. La exportación de un centro que hace la administración de la plataforma no los incluye.
Permisos por rol (jefatura, profesorado, secretaría, conserjería) que jefatura ajusta.
Separación de los datos de cada centro.
Enlaces secretos (pantalla de sala, calendario) con límite de peticiones y renovables.
Código QR de guardias con un código secreto por aula, que jefatura puede cambiar. Los QR antiguos dejan de valer.
Buzón anónimo que no guarda autor y redondea la fecha al día. Cada sugerencia tiene un identificador al azar y el límite de envíos es por centro, no por persona.
Archivos subidos guardados con un nombre al azar y con la extensión que corresponde a su contenido, nunca la que manda el navegador.
El ZIP de justificantes se crea en la carpeta privada, solo legible por la aplicación, y se borra en cuanto se descarga.
Los avisos push solo se envían a los servicios de notificaciones conocidos de los navegadores.
La instalación inicial exige un token secreto que solo conoce quien tiene acceso a los archivos del servidor.
Exportación y eliminación completas al darse de baja.
El Panel de Control del titular solo guarda cantidades por centro y errores sin su mensaje (tipo, archivo, línea y ruta), que se borran a los 30 días.
Las tareas diarias (avisos, recordatorios y borrados por plazos) se ejecutan solas cada día con el programador del servidor.
La demostración (demo.aularium.es) es una instalación aparte, con su propia base de datos de datos inventados: no tiene acceso a los datos de ningún centro.
2. Límites
La clave que cifra los justificantes está en el mismo servidor: protege frente a una fuga de la base de datos, no frente a un compromiso total del servidor.
El resto de archivos (tareas, actas, fotocopias, fotos de incidencias) no se cifran.
El ZIP de justificantes que descarga jefatura sale descifrado: debe guardarse en lugar seguro.
La pantalla de la sala muestra nombres sin iniciar sesión a quien tenga el enlace.
Con la Cuenta Evalum, la contraseña es la misma en Aularium y en Evalúat: quien la conozca entra en las dos.
Aularium no guarda la clave maestra (service_role) de la base de datos de Evalúat. Para las Cuentas Evalum usa una función intermedia, protegida con un secreto, con permisos limitados: crear la cuenta, cambiar la contraseña (comprobando que el correo coincide), sincronizar el claustro del pack Evalum y volver a proteger la clave de nombres de Evalúat al cambiar la contraseña. Quien se hiciera con el control del servidor de Aularium podría usar esas operaciones y ver las contraseñas de quienes entren mientras tanto, pero no leer ni cambiar a través de ella las clases y notas de Evalúat.
Al cambiar la contraseña desde Aularium de una persona con Cuenta Evalum, la clave que abre los nombres de su alumnado en Evalúat pasa por la memoria del servidor de Aularium para protegerla con la nueva contraseña. Nunca se guarda, pero durante ese momento el cifrado no depende solo del navegador de esa persona.
El registro técnico de errores de la aplicación y los registros del alojamiento pueden contener correos e IP; solo los consulta el titular para resolver fallos.
3. Incidentes y vulnerabilidades
Ante una brecha se avisará al centro sin dilación indebida, como máximo en 48 horas. Para informar de una vulnerabilidad, escribe a contacto@evaluat.es con el asunto «Seguridad».
Revisión de seguridad interna del código: 16 de octubre de 2026. Sus hallazgos están corregidos.
Auditoría de seguridad externa antes del lanzamiento: pendiente.