Seguridad

Cómo funciona el acceso, qué es y qué no es un ID, y cómo informar de una vulnerabilidad.

​

Cómo funciona el acceso

Tres condiciones deben cumplirse a la vez para que tu PMS vea una propiedad:

1. Credencial PMS. La clave es válida, está vigente y pertenece al entorno al que llamas.
2. Scope. La clave lleva el scope que exige la ruta: properties:read para listar y leer propiedades.
3. Conexión. El anfitrión de la propiedad ha conectado esa propiedad a tu PMS. Un scope nunca concede una propiedad por sí solo.

Si falla cualquiera de las tres, recibes 401, 403 o 404 respectivamente. Una propiedad que no puedes ver responde exactamente igual que una que no existe.

​

El ID de una propiedad no es una credencial

Un id de propiedad es un identificador. Conocerlo no concede nada: solo lo hacen las tres condiciones de arriba. Puedes guardar los ID y escribirlos en los logs con libertad, pero trata tu credencial PMS como un secreto (consulta Autenticación).

​

Minimización de datos

La API comparte solo lo que un PMS necesita para asignar una propiedad. Consulta Titularidad de los datos para ver qué no se comparte nunca.

​

Informar de una vulnerabilidad

Si encuentras un problema de seguridad en la API PMS de Tatallo o en este sitio, escribe a [e-mail] con Security en el asunto. No la divulgues públicamente y no accedas a datos que no sean tuyos mientras investigas. Incluye qué encontraste, cómo reproducirlo y cualquier ID de solicitud. Tatallo confirma la recepción y te mantiene informado hasta que se corrige.

Si crees que una de tus claves se ha filtrado, indícalo en la primera línea: Tatallo la revoca de inmediato y te emite una nueva.