REGISTRO DE CAMBIOS DE SEGURIDAD

Registro de cambios de seguridad

Un registro continuo de las mejoras de seguridad que publicamos. Publicamos correcciones, no exploits. Las entradas solo se añaden y permanecen publicadas para siempre.

2026-10-14Última

Entradas largas evaluadas por ventanas, facturadas por tamaño

Entradas largas por ventanas: la API de análisis evalúa las entradas de más de 2.000 caracteres en hasta 20 ventanas solapadas, incluyendo siempre el final del texto, en lugar de solo los primeros 512 tokens, de modo que una instrucción oculta más adelante en un resultado de herramienta largo o en un archivo ya no queda fuera de lo que lee el modelo. Las entradas más cortas pueden pedirlo con "long_input": "windows". Referencia de la API
Facturación por tamaño: una llamada cubre hasta 2.000 caracteres; cada 1.000 caracteres adicionales, o fracción, es una llamada más (20.000 caracteres son 19 llamadas). Cada respuesta indica input_chars y billed_calls. Las entradas de hasta 2.000 caracteres se facturan como antes. Cuotas

2026-10-13

Autenticación de dos factores y direcciones de correo verificadas

Autenticación de dos factores y passkeys: las cuentas pueden añadir una aplicación de autenticación o una llave de seguridad, y el inicio de sesión con passkey cuenta como segundo factor. Es opcional en las cuentas personales y obligatorio para los miembros de organizaciones y para quien lo active. Crear o mostrar una clave de API requiere un inicio de sesión reciente y, cuando corresponda, el segundo factor. Seguridad de la cuenta
Solo direcciones de correo verificadas: una dirección solo es una identidad una vez verificada. Las claves de API, la facturación, el uso, las evidencias y las organizaciones rechazan una sesión con una dirección sin verificar, y el panel pide verificarla en lugar de cerrar la sesión del usuario. Se cerró el registro en una conexión de base de datos heredada que ninguna aplicación usaba para registrarse.
Correos de verificación desde nuestro propio dominio: los correos de la cuenta ahora llegan desde security@usezn.com y sus enlaces apuntan a auth.usezn.com.
Revocación más rápida: revocar una clave de API o un token de organización solo necesita un inicio de sesión reciente, no un segundo factor, de modo que una clave filtrada o un portátil perdido se pueden desactivar de inmediato.
Los tokens de organización no se pueden bloquear: los secretos incorrectos enviados con el id público de un token ya no suspenden ese token; generan una alerta y aparecen en el registro de actividad de la organización.
Los cambios de facturación piden un segundo factor: el propietario de una organización necesita autenticación de dos factores para abrir el portal de facturación, cambiar los puestos o el límite de pago por uso, o para dar a alguien el rol de administrador o de auditor.
Galvanize 2 en la comprobación en la nube: desde el 12 de octubre, la comprobación opcional en la nube usa Galvanize 2; Galvanize-60M sigue siendo el respaldo automático. Detalles
zn-gate 1.6.0: los hooks del agente también deniegan los comandos de administración de zn escritos como llamada de paquete con versión (npx, pnpm dlx, bunx con zn-gate@<version>), que antes dejaban pasar. Aviso
zn-gate 1.5.1: en Windows, zn run inicia los archivos por lotes solo a través de cmd.exe del sistema, de modo que un programa elegido a través del entorno ya no puede recibir valores secretos. En todas las plataformas, deja de pasar los ajustes de arranque del intérprete que vienen del entorno del llamador, como NODE_OPTIONS, a un programa que recibe secretos. Aviso

2026-10-09

Refuerzo de la seguridad de las sesiones

Revocación instantánea en el servidor: una época de revocación por usuario invalida ahora los tokens emitidos antes en el momento en que se cambia o restablece una contraseña, o cuando el usuario elige “Cerrar sesión en todos los dispositivos”, sin esperar a que caduquen los tokens.
Vidas útiles de token más cortas: los access tokens pasan de 24 horas a 15 minutos, con rotación de refresh tokens y detección de reutilización (un token copiado y reutilizado revoca toda la cadena).
El cierre de sesión refuerza la sesión: un cierre de sesión normal ahora fuerza la rotación del refresh token, de modo que un refresh token capturado antes deja de servir.
Cierre de sesión automático al rechazarse: los clientes cierran la sesión de inmediato cuando el servidor rechaza una sesión.
Dominio de autenticación propio: el inicio y el cierre de sesión ahora se ejecutan en auth.usezn.com en lugar de exponer el tenant del proveedor de identidad subyacente.
Gestión de errores con la marca: los errores de identidad muestran ahora una página con la marca de usezn, y las sesiones caducadas llevan a la página de inicio de sesión con un aviso claro de “sesión caducada” en lugar de una redirección rota.

Gracias a los investigadores independientes acreditados en nuestro Salón de la fama de la seguridad — los informes como los suyos son la razón de que estas mejoras se produzcan. ¿Has encontrado algo? Escribe a security@usezn.com.