Cómo protegemos tus datos

Última actualización: 16/10/2026

Para mostrarte tus descargas reales y que puedas responder reseñas, StoRank te pide una clave de API de App Store Connect o una cuenta de servicio de Google Play. Es algo delicado. Aquí te contamos, en palabras sencillas, qué hacemos con ella y qué no hacemos nunca.

1. Tus claves de las tiendas se guardan cifradas

Tu clave .p8 de App Store Connect, el JSON de tu cuenta de servicio de Google Play y tu clave privada de Apple Ads se cifran antes de escribirse en nuestra base de datos (Fernet: cifrado AES con control de integridad). La clave de descifrado se guarda aparte de la base de datos; una copia de la base de datos por sí sola no puede abrirlas.

Una clave solo se descifra en memoria, en el momento en que la usamos para consultar a Apple o Google. Una vez subida, no se vuelve a mostrar nunca: ni en el panel, ni en la API, ni en los correos. En Ajustes solo ves el nombre, el Key ID y el estado de la conexión.

Tus claves de las tiendas nunca se envían a proveedores de IA. Nuestro sistema de seguimiento de errores está configurado para no recibir nunca el cuerpo de las peticiones, las cookies ni ningún texto que parezca una clave.

2. Con el mínimo de permisos basta

No tienes que darle a StoRank una clave de Admin. Crea una clave aparte solo para StoRank y dale únicamente estos permisos:

App Store Connect: una clave de API con el rol Sales basta para conectar y ver las descargas diarias, los ingresos y el desglose por país y dispositivo. Para enviar respuestas a reseñas desde StoRank hace falta el rol Customer Support o App Manager. Activar por primera vez los informes de analítica de Apple (conversión en la tienda y número de cierres) puede requerir Admin; solo lo haces si quieres.
Google Play: la cuenta de servicio no necesita ningún rol en Google Cloud. En Play Console basta con Ver información de la app y descargar informes masivos; añade Responder a reseñas si quieres responder desde StoRank.
Apple Ads: basta con el rol API Account Read Only.

Paso a paso: clave de API de App Store Connect y cuenta de servicio de Google Play.

3. Solo leemos

Usamos tus claves solo para leer tus propios informes: descargas, ingresos, reseñas, conversión en la tienda, cierres y rendimiento de anuncios.

Solo dos cosas cambian algo en tu cuenta de la tienda, y las dos las inicias tú pulsando un botón: enviar una respuesta a una reseña y (solo en App Store) activar los informes de analítica de Apple. Nunca tocamos el texto de tu ficha, los precios, las compilaciones ni ningún otro ajuste.

4. Desconectar borra la clave

Cuando borras una conexión en Ajustes → Conexiones, la clave cifrada y los datos obtenidos con ella se borran de inmediato de nuestra base de datos.

También puedes revocar el acceso en el origen cuando quieras: pulsa Revoke en la clave en App Store Connect, borra la clave de la cuenta de servicio en Google Cloud o quita los permisos de la cuenta de servicio en Play Console. En ese momento termina el acceso de StoRank.

5. Los datos de tu tarjeta nunca nos llegan

Los pagos los cobra Paddle.com como vendedor (Merchant of Record). Introduces tu tarjeta en la propia ventana de pago de Paddle y esos datos nunca llegan a nuestros servidores. Solo vemos el estado de la suscripción, tu país y la información mínima necesaria para la factura.

6. Inicio de sesión y sesiones

Tu contraseña se resume en un solo sentido con scrypt; nunca se guarda de forma legible y nosotros no podemos leerla. Las contraseñas tienen al menos 10 caracteres.
Cloudflare Turnstile filtra los bots en los formularios de inicio de sesión y registro por correo. Los intentos fallidos de contraseña están limitados.
Cada sesión empieza con una clave aleatoria y en nuestra base de datos solo se guarda su resumen. La cookie es HttpOnly (los scripts de la página no pueden leerla) y solo viaja por HTTPS.
Cuando alguien inicia sesión desde un dispositivo nuevo, llega un aviso a tu propio correo; si no fuiste tú, cambia la contraseña enseguida. Cambiar la contraseña cierra todas las sesiones abiertas.

7. Claude, ChatGPT y acceso por API

Cuando conectas StoRank a Claude o ChatGPT (MCP) o creas una clave de API, el acceso es de solo lectura y solo ve los datos de tu propia cuenta. No puede cambiar nada.

Puedes quitar las conexiones y las claves de API en Ajustes cuando quieras. Los tokens de acceso y las claves de API solo se guardan como resumen. Cambiar la contraseña también desconecta las apps de IA. Los detalles están en la página Desarrolladores.

8. Servidores y red

Todo el tráfico va cifrado con HTTPS y se indica a los navegadores que usen solo HTTPS durante un año (HSTS).
El servidor solo acepta tráfico web a través de Cloudflare; las conexiones que intentan llegar a él directamente se descartan.
Nuestras páginas se sirven con una política de seguridad de contenido (CSP) estricta: solo se ejecutan nuestros propios scripts, que llevan una clave que cambia en cada petición, y nuestras páginas no se pueden incrustar en otros sitios.
Las cuentas están separadas: cualquier petición de la app, la palabra clave o la conexión de otra cuenta recibe un “no encontrado”.

9. Copias de seguridad

Cada noche se hace una copia de seguridad y se cifra con age antes de salir del servidor. La clave que la abre no está en el servidor, así que las copias siguen siendo ilegibles aunque el servidor se viera comprometido.

La copia cifrada se guarda fuera del servidor, en Cloudflare R2, durante 30 días y después se borra. Por eso los datos que borramos también desaparecen de las copias en 30 días como máximo.

10. Conservación y borrado

Si tu prueba o tu plan terminan y no eliges un plan, tus datos se guardan 30 días más y después se borran; te avisamos por correo 7 días antes. Para borrar tu cuenta al momento, usa Ajustes → Eliminar Mi Cuenta en el panel (vuelves a escribir tu contraseña).

El borrado elimina tus apps, palabras clave, historial de posiciones, competidores, sugerencias, conexiones y claves de las tiendas, conexiones de IA, claves de API y sesiones. Se conservan los registros de facturas que la ley nos obliga a guardar.

11. Lo que aún no tenemos

Para ser sinceros: todavía no hay inicio de sesión en dos pasos (2FA) y no tenemos certificaciones externas como SOC 2. Cuando eso cambie, lo pondrá aquí.

12. ¿Has encontrado una vulnerabilidad?

Escríbenos a [email protected] contando qué encontraste y cómo reproducirlo. Leemos todos los avisos y respondemos lo antes posible. Danos un tiempo razonable para corregirlo y, por favor, no accedas a datos de otras personas, no borres datos ni hagas pruebas de carga que ralenticen el servicio.

Datos de contacto legibles por máquina: /.well-known/security.txt.

← Inicio