- Inicio de sesión con correo (contraseñas con hash scrypt) u OAuth de Discord con permisos mínimos. Nunca pedimos contraseñas ni tokens de usuario de Discord.
- Las sesiones usan cookies HttpOnly, tokens CSRF y comprobación de origen.
- Cada bot pertenece a una sola cuenta y nunca es visible para otras.
- Los secretos se cifran en reposo y se ocultan en los registros.
- Los bots se ejecutan con límites de CPU, memoria y procesos, sin acceso privilegiado, con salida de red restringida y sin acceso a archivos del servidor.
- Las solicitudes de IA tienen límites de velocidad, presupuesto y moderación. Se rechazan bots para spam, raids, robo de tokens o acoso.
- Las acciones administrativas quedan en un registro de auditoría.
Informar de un problema
Si encuentras una vulnerabilidad o un bot que abusa de Discord, contáctanos. No hagas pruebas contra bots o datos de otros usuarios.