Política de privacidad de AutoCódigo 2FA
En resumen: AutoCódigo 2FA no envía ningún dato a ningún servidor. Tu clave secreta y tus preferencias se guardan solo en tu navegador, cifradas si usas un PIN. No hay analítica, publicidad, cookies propias ni terceros.
1. Qué es AutoCódigo 2FA
AutoCódigo 2FA es una extensión de Chrome que genera el código de verificación en dos pasos (TOTP, el estándar que usan apps como Google Authenticator) y lo rellena en la página de verificación del inicio de sesión de la Universitat Jaume I (xmlrpc.uji.es).
Es una extensión no oficial y no está afiliada, patrocinada ni aprobada por la Universitat Jaume I. Su nombre y su dominio se citan solo para indicar con qué inicio de sesión es compatible. Google Authenticator es una marca de Google LLC.
2. Datos que maneja la extensión
| Dato | Para qué | Dónde se guarda |
|---|---|---|
| Clave secreta TOTP de tu cuenta | Generar el código de 6 dígitos | En tu navegador (chrome.storage.local). Si estableces un PIN, cifrada con AES-256-GCM; si no, sin cifrar. |
| Clave desbloqueada (solo con PIN) | Generar códigos sin pedirte el PIN cada vez | Solo en memoria (chrome.storage.session). Se borra al cerrar Chrome, al bloquear la extensión, al bloquear la pantalla o tras el tiempo de inactividad que elijas. |
| Preferencias | Relleno y envío automáticos, tiempo de bloqueo | En tu navegador (chrome.storage.local) |
| Contador de PIN incorrectos | Imponer esperas tras varios fallos | En tu navegador (chrome.storage.local) |
| Contador de envíos automáticos | No reenviar en bucle un código que falla | En el almacenamiento de sesión de la pestaña de verificación. Se borra al cerrar la pestaña. |
Tu PIN no se guarda en ningún sitio. Solo se usa en el momento para derivar la clave de cifrado (PBKDF2-SHA256, 600.000 iteraciones).
La extensión no accede a tu usuario ni a tu contraseña, ni a tu historial, ni al contenido de otras webs.
3. Qué no hace nunca
- No envía datos a ningún servidor, ni del desarrollador ni de terceros. Su política de seguridad de contenido (
connect-src 'none') le impide hacer cualquier conexión de red. - No usa analítica, telemetría, publicidad ni cookies.
- No vende, cede ni comparte datos con nadie.
- No usa los datos para ningún fin distinto de rellenar el código de verificación.
- No carga código remoto: todo el código está incluido en la extensión.
4. Dónde actúa y con qué permisos
- Acceso a
https://xmlrpc.uji.es/*: solo actúa en la página de verificación en dos pasos (/simplesaml/module.php/twofactorauth/TwoFactorMethods/totp.php) para escribir el código. Solo envía el formulario si su destino eshttps://xmlrpc.uji.es. storage: guardar la clave y las preferencias en tu navegador.scripting: rellenar el código en una pestaña de verificación que ya estuviera abierta.idle: bloquear la clave al bloquear la pantalla o tras un tiempo de inactividad.
5. Seguridad
Si estableces un PIN, la clave se guarda cifrada (AES-256-GCM con una clave derivada del PIN mediante PBKDF2-SHA256 de 600.000 iteraciones, con sal e IV aleatorios). Tras 5 intentos fallidos de PIN se imponen esperas crecientes.
Si no estableces un PIN, la clave se guarda sin cifrar en tu perfil de Chrome, y la extensión te lo indica con un aviso. Te recomendamos usar un PIN y utilizar la extensión solo en un ordenador personal.
6. Cómo borrar tus datos
- En la extensión, pulsa "Borrar clave de la extensión". Esto elimina la clave secreta y el contador de intentos. Tus preferencias se conservan hasta que desinstales la extensión.
- Si desinstalas la extensión, Chrome elimina automáticamente todos sus datos.
Como ningún dato sale de tu dispositivo, el desarrollador no tiene ninguna copia que borrar.
7. Cambios en esta política
Si la política cambia, se publicará en esta página con una nueva fecha de actualización. Cualquier cambio que suponga enviar datos fuera de tu dispositivo se indicaría de forma destacada antes de aplicarse.
8. Contacto
Para cualquier duda sobre esta política o sobre la extensión, abre una incidencia en el repositorio del proyecto: github.com/Ikerdas13/autocodigo-2fa/issues