Proyecto
Seguridad
Cómo proteger tu user_api_hash y tus integraciones: usuario dedicado, cabecera en lugar de URL, datos de ejemplo ficticios y cómo reportar un problema.
Estado: Parcial · Revisada el 5 de octubre de 2026
Qué se verificó y cómo: Las recomendaciones salen de cómo funciona la credencial, verificado por lectura del código. La política formal de reporte de vulnerabilidades y de rotación de credenciales todavía no está definida.
Tu credencial #
- El
user_api_hashconcede los mismos permisos que la contraseña del usuario. No hay claves de solo lectura ni por alcance. - Crea un usuario dedicado para cada integración, con permisos únicamente de "ver". Si la integración se compromete, desactivas ese usuario sin afectar a otros.
- Guarda el hash en un gestor de secretos o en variables de entorno. No lo pongas en el código, en repositorios, en tickets ni en aplicaciones que corren en el navegador de tus usuarios.
- No lo envíes en la URL. Usa la cabecera
user-api-hash: las URL acaban en registros de acceso. - Si cambias la contraseña del usuario, el hash se regenera y el anterior deja de funcionar.
Datos de ejemplo #
Todos los ejemplos de este portal usan marcadores y datos ficticios (TU_API_HASH, demo@example.com, IMEI y placas de prueba). Ninguna respuesta de ejemplo contiene datos de clientes.
Qué no se publica #
Este portal documenta solo operaciones de lectura verificadas. No se documentan operaciones de escritura, de administración de clientes ni de la aplicación móvil de administración, ni detalles de la infraestructura. Es una decisión de seguridad y de honestidad: solo publicamos lo que podemos respaldar.
Reportar un problema #
Si encuentras un error en la documentación o un problema de seguridad, escribe a info@trackerintl.com. No incluyas credenciales reales en el mensaje.
Consulta también la página general de seguridad y protección de datos de Tracker International.