1. Objeto
Documento vigente · Rev. 20261027
Esta Política establece controles para la entrega, recuperación, modificación, revocación o transferencia de accesos administrativos y otra información sensible relacionada con servicios gestionados o alojados por Adaptix Networks, S.L.
Su finalidad es reducir riesgos de suplantación, fraude, ingeniería social, acceso no autorizado y disputas internas del Cliente.
2. Principio de mínima exposición
Adaptix no entregará ni modificará credenciales administrativas únicamente porque exista una solicitud urgente. Antes de ejecutar una acción sensible podrá requerir una validación razonable de identidad, autoridad y legitimidad.
El nivel de validación será proporcional al riesgo de la solicitud.
3. Solicitudes cubiertas
Entre otras:
- recuperación o restablecimiento de contraseñas administrativas;
- entrega de acceso root, Administrator o equivalente;
- modificación o eliminación de MFA;
- cambio de contactos autorizados;
- transferencia de dominio o control de DNS;
- acceso a copias de seguridad;
- cambios de correo de recuperación;
- revocación de llaves SSH, tokens o sesiones;
- cambio de responsable técnico;
- transferencia de control operativo de un servicio.
4. Canal preferente
Las solicitudes deberán presentarse preferentemente mediante ticket autenticado en el Portal de Clientes o desde contactos corporativos previamente registrados.
Una solicitud recibida por un canal no autenticado podrá requerir validaciones adicionales.
5. Contactos autorizados
El Cliente es responsable de mantener actualizados sus contactos autorizados y de revocar oportunamente a empleados, proveedores o responsables que ya no deban tener capacidad de solicitar cambios.
Adaptix podrá negarse temporalmente a ejecutar una solicitud si existen contradicciones entre contactos, instrucciones incompatibles o indicios de disputa interna.
6. Validación escalonada
Según el riesgo, Adaptix podrá utilizar uno o varios de los siguientes mecanismos:
- validación mediante sesión autenticada en el Portal de Clientes;
- confirmación desde dirección corporativa registrada;
- comprobación con un segundo contacto autorizado;
- llamada a un número previamente registrado;
- comprobación de datos contractuales o de facturación no públicos;
- carta o autorización corporativa;
- acreditación de facultades de representación;
- documento de identidad cuando resulte necesario y proporcionado;
- videollamada u otro mecanismo reforzado en supuestos excepcionales.
La solicitud de documentación personal se limitará a lo que resulte razonablemente necesario y se tratará conforme a la Política de Privacidad.
7. Correos personales
Las solicitudes procedentes únicamente de cuentas personales o gratuitas no se considerarán por sí solas prueba suficiente para entregar accesos críticos cuando la cuenta contractual pertenezca a una organización.
Si el Cliente ha perdido el acceso a su dominio o correo corporativo, Adaptix podrá aplicar un procedimiento extraordinario de recuperación con validación reforzada.
8. Solicitudes de alto riesgo
Se consideran de riesgo elevado, entre otras:
- cambio de titular o control de una cuenta;
- transferencia de dominios;
- acceso a backups completos;
- acceso root/Administrator;
- cambio masivo de DNS;
- revocación de todos los administradores existentes;
- modificación de MFA del administrador principal;
- solicitudes durante una disputa societaria, laboral o contractual;
- instrucciones que contradigan el historial reciente de la cuenta.
9. Disputas internas
Adaptix no actuará como árbitro de disputas entre socios, administradores, empleados, exempleados, proveedores o asesores del Cliente.
Cuando existan instrucciones contradictorias y no pueda determinarse con seguridad quién está legitimado, Adaptix podrá congelar temporalmente cambios sensibles hasta recibir documentación suficiente, acuerdo de las partes legitimadas o resolución de autoridad competente.
10. Medidas posteriores a una transferencia de control
Tras validar un cambio de responsable, Adaptix podrá, según el caso:
- invalidar contraseñas anteriores;
- cerrar sesiones;
- revocar tokens y llaves;
- restablecer MFA;
- actualizar correos y teléfonos de recuperación;
- actualizar contactos autorizados;
- registrar evidencia de la actuación.
11. Entrega segura
Las credenciales no deberán enviarse en texto claro por canales inseguros cuando exista una alternativa razonable. Adaptix podrá utilizar mecanismos temporales, enlaces protegidos, canales separados o exigir que el Cliente establezca una nueva contraseña tras el primer acceso.
12. Registro de evidencia
Adaptix podrá conservar evidencia razonable de las validaciones y cambios efectuados para fines de seguridad, auditoría, cumplimiento y defensa jurídica, conforme a la normativa de protección de datos.
13. Excepciones de emergencia
En un incidente activo de seguridad, Adaptix podrá revocar o bloquear accesos de forma preventiva antes de completar todas las validaciones habituales cuando sea necesario para contener el riesgo. La entrega de nuevos accesos seguirá requiriendo validación adecuada.