Security policy

Version of October 26, 2026. If the languages differ, the English text prevails. This is not an ISO certificate and it is not a promise that an incident is impossible.

Kandrian LLC, 2201 Menaul Blvd NE, Ste A, Albuquerque, NM 87107, USA, protects MailTraceIQ with the measures below. Security reports: [email protected].

1. What we protect

The customer account, tracked messages, contact lists, encrypted SMTP secrets, and backups, against unauthorized access, tampering, and avoidable loss. The customer's browser, Gmail session, API key handling, and mailbox password remain the customer's responsibility.

2. Measures in place

Public traffic arrives over HTTPS and passes through Cloudflare before it reaches the origin.
The origin firewall accepts the application port only from the reverse proxies, and SSH only from the private network.
fail2ban and per-route rate limits reduce password guessing and abusive tracking traffic.
API keys are stored as a keyed hash, not as the original key. Rotating a key requires the current key.
SMTP passwords the customer saves are encrypted with AES-256-GCM and are not returned by the API. The contact form on this website does not reveal its destination address.
Tracking responses are sent immediately. Persistence goes through a queue so a slow database does not block the recipient's mail client.
The database is YugabyteDB on the application server, with a daily backup kept for a limited number of days on that host.
Security headers and a content security policy are set on the portal, the legal pages, and this site.

3. What we do not claim

We do not claim a specific uptime percentage, a penetration-test certificate, or that a recipient's mail gateway cannot see a tracking request. An open or a click is, by design, a request to our servers.

4. If something goes wrong

If we confirm unauthorized access to customer data, we will tell the affected customer without undue delay, with what we know and what they should do, unless a law forbids the notice. The customer should write to us if they believe an API key or SMTP password has leaked, and rotate it.

Política de seguridad

Versión del 26 de octubre de 2026. Si los idiomas no coinciden, prevalece el inglés. Esto no es un certificado ISO ni una promesa de que un incidente sea imposible.

Kandrian LLC, 2201 Menaul Blvd NE, Ste A, Albuquerque, NM 87107, USA, protege MailTraceIQ con las medidas de abajo. Avisos de seguridad: [email protected].

1. Qué protegemos

La cuenta del cliente, los mensajes con seguimiento, las listas de contactos, los secretos SMTP cifrados y los respaldos, frente a un acceso no autorizado, una alteración y una pérdida evitable. El navegador del cliente, su sesión de Gmail, el cuidado de la API key y la contraseña del buzón siguen siendo del cliente.

2. Medidas aplicadas

El tráfico público llega por HTTPS y pasa por Cloudflare antes del origen.
El cortafuegos del origen acepta el puerto de la aplicación solo desde los proxies inversos, y SSH solo desde la red privada.
fail2ban y límites por ruta reducen el adivinar claves y el tráfico abusivo de seguimiento.
Las API keys se guardan como un hash con clave, no como la clave original. Rotar una clave exige la clave vigente.
Las contraseñas SMTP que el cliente guarda se cifran con AES-256-GCM y la API no las devuelve. El formulario de este sitio no muestra la dirección de destino.
La respuesta de seguimiento sale de inmediato. La persistencia pasa por una cola para que una base lenta no frene el correo del destinatario.
La base es YugabyteDB en el servidor de la aplicación, con un respaldo diario guardado unos días en ese equipo.
Hay cabeceras de seguridad y una política de contenido en el portal, las páginas legales y este sitio.

3. Lo que no afirmamos

No afirmamos un porcentaje de disponibilidad, un certificado de prueba de intrusión ni que la pasarela de correo del destinatario no pueda ver una petición de seguimiento. Una apertura o un clic es, por diseño, una petición a nuestros servidores.

4. Si algo sale mal

Si confirmamos un acceso no autorizado a datos de un cliente, se lo diremos sin demora indebida, con lo que sepamos y lo que debería hacer, salvo que una ley prohíba el aviso. El cliente debe escribirnos si cree que se filtró una API key o una contraseña SMTP, y rotarla.

Política de segurança

Versão de 26 de outubro de 2026. Se os idiomas divergirem, prevalece o inglês. Isto não é um certificado ISO nem uma promessa de que um incidente seja impossível.

A Kandrian LLC, 2201 Menaul Blvd NE, Ste A, Albuquerque, NM 87107, USA, protege o MailTraceIQ com as medidas abaixo. Avisos de segurança: [email protected].

1. O que protegemos

A conta do cliente, as mensagens rastreadas, as listas de contatos, os segredos SMTP cifrados e os backups, contra acesso não autorizado, alteração e perda evitável. O navegador do cliente, a sessão do Gmail, o cuidado com a API key e a senha da caixa continuam sendo do cliente.

2. Medidas em uso

O tráfego público chega por HTTPS e passa pela Cloudflare antes da origem.
O firewall da origem aceita a porta da aplicação só a partir dos proxies reversos, e SSH só a partir da rede privada.
fail2ban e limites por rota reduzem a adivinhação de chaves e o tráfego abusivo de rastreamento.
As API keys ficam como um hash com chave, não como a chave original. Trocar uma chave exige a chave vigente.
As senhas SMTP que o cliente grava são cifradas com AES-256-GCM e a API não as devolve. O formulário deste site não mostra o endereço de destino.
A resposta de rastreamento sai na hora. A gravação passa por uma fila para um banco lento não segurar o e-mail do destinatário.
O banco é YugabyteDB no servidor da aplicação, com backup diário guardado alguns dias nesse host.
Há cabeçalhos de segurança e uma política de conteúdo no portal, nas páginas legais e neste site.

3. O que não afirmamos

Não afirmamos um percentual de disponibilidade, um certificado de teste de invasão nem que o filtro de e-mail do destinatário não possa ver um pedido de rastreamento. Uma abertura ou um clique é, por desenho, um pedido aos nossos servidores.

4. Se algo der errado

Se confirmarmos acesso não autorizado a dados de um cliente, vamos avisá-lo sem demora indevida, com o que soubermos e o que ele deve fazer, salvo se uma lei proibir o aviso. O cliente deve nos escrever se achar que uma API key ou uma senha SMTP vazou, e trocá-la.