Seguridad y tratamiento de datos
Última actualización:
Esta página responde a las preguntas de la revisión de seguridad de datos de plugins de Figma y a lo que suelen preguntarnos los equipos preocupados por la seguridad.
¿Qué datos se envían al servicio?
- La dirección de la página, las pantallas y opciones elegidas y un identificador de cuenta derivado de su id de usuario de Figma (sin nombre ni correo electrónico).
- Una clave de licencia o un token de compra de Figma de corta duración, si tiene un plan de pago.
- En el modo Local file: los archivos que usted sube. En el modo AI: el HTML que envía su herramienta de IA. Con Send to Figma: la captura de la pestaña que usted eligió.
¿Lee el plugin mi archivo de Figma?
No. El plugin escribe capas en su archivo. Solo lee la información que guardó en sus propios frames (dirección de origen y ancho) para ofrecer Re-import. Sus fuentes se comprueban localmente y nunca se suben. El contenido de su archivo nunca se envía a ningún sitio.
¿Durante cuánto tiempo se conservan los datos?
| Datos | Conservación |
|---|---|
| Resultado de la importación | Se entrega una vez y se elimina de la memoria; registro del trabajo 15 minutos |
| Archivos subidos | Solo en memoria; se eliminan justo después de la última página (2 minutos si se abandona) |
| Bandeja de Send to Figma / AI | Solo en memoria; se elimina cuando su plugin la recoge, como máximo 30 minutos |
| Registro de importaciones | 180 días; la dirección IP se elimina a los 30 días |
| Registro de seguridad | 90 días |
| Contadores por IP del plan Free | 2 meses |
El contenido de las páginas nunca se escribe en disco.
Cifrado
Todo el tráfico entre el plugin, la extensión y el servicio utiliza HTTPS (TLS). Los tokens de conexión de IA y de la extensión se almacenan únicamente como hashes SHA-256.
Aislamiento
El servicio se ejecuta como tres contenedores separados, cada uno con sus propios permisos:
- API: planes, límites y licencias. Nunca ejecuta un navegador ni decodifica imágenes.
- Navegador: un Chromium en sandbox con un perfil seccomp estricto, sin volúmenes ni secretos, accesible solo desde una red interna.
- Decodificador de imágenes: convierte las imágenes descargadas sin acceso a internet y sin forma de comunicarse con los otros contenedores.
Los tres se ejecutan con sistemas de archivos de solo lectura, con todas las capacidades de Linux eliminadas y sin escalada de privilegios. El navegador se reinicia periódicamente con un disco temporal limpio.
Protección de red
- Un firewall permite que el navegador acceda solo a puertos web públicos; las redes privadas, las direcciones de metadatos en la nube y los servicios internos están bloqueados.
- La protección SSRF comprueba la dirección que usted introduce, cada solicitud que hace la página y cada descarga de imágenes, incluidas las redirecciones; el DNS se fija en el momento de la conexión.
- Los archivos subidos se abren desde la memoria en una dirección virtual, nunca mediante
file://.
Prevención de abusos
Se aplican límites de frecuencia por dirección IP y por cuenta. Los patrones de ataque evidentes (búsqueda de secretos, direcciones internas, solicitudes malformadas) provocan el bloqueo automático tanto de la IP como del identificador de cuenta, con una duración creciente de 24 horas a 30 días.
Terceros
Ninguno para su contenido. Utilizamos un proveedor de alojamiento para los servidores y Cloudflare para servir este sitio web. Figma verifica los tokens de compra de Pro.
Informar de una vulnerabilidad
Escriba a [email protected] con el asunto “Security”. Le rogamos que nos conceda un plazo razonable para corregir el problema antes de divulgarlo.