Resultados de un vistazo
Se realizó una auditoría completa del sistema de cifrado de extremo a extremo en todo el código fuente. Aquí están los resultados verificables:
14
Puntos de mejora identificados y corregidos
0
Vulnerabilidades críticas abiertas
774+
Pruebas automatizadas ejecutadas
📋 Version 2.0 (2026-05-18) — Cette attestation cumule :
- 9 findings de l'audit v1.0 (16/05) — tous corrigés et vérifiés non-régression
- 5 findings de l'audit v2.0 (18/05) — 1 HIGH bug fonctionnel + 2 MED (SQL placeholders) + 2 LOW (rate-limit + constant-time) — tous corrigés
- Aucune faille cryptographique. Aucun changement de modèle de menace.
- Pile crypto inchangée : XChaCha20-Poly1305 (RFC 8439), X25519 (RFC 7748), Argon2id (RFC 9106), Shamir GF(2⁸).
Lo que ha sido verificado
La auditoría cubrió todos los componentes técnicos que manipulan sus datos cifrados:
- Los 13 puntos de entrada del servidor (API) que reciben y almacenan sus contenidos cifrados
- Los 7 módulos JavaScript que se ejecutan en su navegador, en particular el «Web Worker» aislado que es el único en poseer sus claves de cifrado
- La infraestructura de seguridad (políticas de seguridad del contenido, firmas de integridad de los scripts, cabeceras HTTPS)
- El mecanismo de recuperación post mortem (claves divididas en partes mediante Shamir, clave maestra reconstituida por sus depositarios)
- Las protecciones contra abusos: limitación de peticiones, registro de auditoría, detección de actividad anómala
Quién ha realizado la auditoría
La auditoría fue conducida por un agente automatizado especializado en el análisis de seguridad aplicativa, siguiendo las listas de comprobación OWASP ASVS nivel 2 y completada por una revisión manual de los invariantes criptográficos (modelo de amenaza, aislamiento de claves, coherencia de los wraps criptográficos).
⚠️ Con total transparencia
Esta auditoría fue realizada por un agente de inteligencia artificial (Claude AI, Anthropic), y no por un consultor humano certificado tipo CISSP u OSCP. Este certificado es un documento de transparencia técnica — no tiene valor de certificación pentest. Antes de cualquier comunicación pública mayor de esta funcionalidad, leggit se compromete a realizar una auditoría externa humana por un despacho de pentest profesional.
El proceso completo está documentado y es reproducible: cualquier desarrollador con acceso al código puede reejecutar las 753 pruebas automatizadas y obtener el mismo resultado. Ninguna zona gris, ningún «confíen en nuestra palabra».
Referenciales aplicados
La auditoría se apoya en estándares internacionales abiertos y reconocidos:
- OWASP ASVS 4.0 Level 2 — Estándar de verificación de seguridad aplicativa de OWASP — secciones autenticación, sesión, criptografía, registro, protección de datos
- NIST SP 800-175B — Recomendaciones del NIST estadounidense sobre el uso de los estándares criptográficos
- RFC 8439 — Especificación del algoritmo ChaCha20-Poly1305 utilizado para cifrar sus contenidos
- RFC 7748 — Especificación de la curva Curve25519 utilizada para los intercambios de claves entre usted y sus destinatarios
- RFC 9106 — Especificación de Argon2 utilizado para derivar su clave maestra desde su contraseña
Contra qué le protegemos — y nuestros límites
✅ Sus datos permanecen protegidos contra
- Una incautación o un robo de nuestros servidores: los datos almacenados están cifrados e ilegibles sin su clave personal
- Un administrador de leggit curioso o malintencionado: no disponemos técnicamente de ningún medio para leer sus contenidos
- Una intrusión temporal en nuestros sistemas: sin modificación del código fuente, el atacante no puede descifrar nada
- Un robo de sesión del navegador: las operaciones sensibles (añadir un destinatario, por ejemplo) requieren una re-autenticación
- La falsificación de destinatarios fantasma: cada destinatario es verificado contra una lista blanca del servidor
⚠️ No podemos hacer nada contra
- Una intrusión activa que modificara el código JavaScript servido por leggit. Limitamos este riesgo mediante firmas de integridad (SRI), pero no lo eliminamos totalmente.
- Un navegador o un dispositivo comprometido (software malicioso, extensión maliciosa, keylogger) — es su responsabilidad utilizar un equipo limpio.
- Una coacción judicial que obligue a la modificación de nuestro código (lawfare). leggit es una sociedad francesa y aplica el derecho francés.
- Los progresos futuros del criptoanálisis (10-20 años). Seguimos las recomendaciones NIST/IETF y migraremos cuando sea necesario.
Estos límites son inherentes a todo sistema de cifrado de extremo a extremo ejecutado en un navegador web. Ningún actor honesto de este mercado puede comprometerse más allá.
Alcance jurídico de este documento
Este certificado es un documento técnico de transparencia. Puede ser comunicado a clientes potenciales, clientes, socios jurídicos (notarios) o autoridades de control (CNIL) que deseen comprender cómo leggit protege los datos que le son confiados.
No constituye una certificación ISO 27001, PASSI, RGS o SecNumCloud. Estas certificaciones requieren una auditoría por un organismo acreditado (Bureau Veritas, AFNOR, etc.) y forman parte de la hoja de ruta a medio plazo de leggit.