HIPAA
Preparado para HIPAA cuando se despliega en su entorno seguro.
Scope
SCaptcha no requiere PHI para funcionar y puede usarse en entornos HIPAA. Usted sigue siendo responsable de los controles de acceso, la auditabilidad y el cumplimiento de HIPAA.
This page maps SCaptcha 2.3.0 behavior to the named framework. It is not a certification or legal advice.
No se requiere PHI
SCaptcha no necesita información de salud protegida para verificar usuarios. Mantenga la PHI fuera de los campos CAPTCHA y de los registros.
Proof-of-Work y las comprobaciones de comportamiento son computacionales y pueden ejecutarse sin identificadores.
Límite autoalojado
La verificación permanece dentro de su infraestructura y no requiere proveedores CAPTCHA externos.
La inteligencia de proxy opcional está deshabilitada por defecto. Si se habilita, revísela en su evaluación de riesgos HIPAA.
Auditabilidad y controles de acceso
Los registros de solicitudes pueden respaldar trazas de auditoría cuando el acceso está restringido a personal autorizado.
Alinee la retención y los controles de acceso con sus políticas HIPAA y documente cualquier acceso de soporte por separado.
Lista de implementación
Use TLS en todo, limite el acceso a analíticas y registros, y evite almacenar PHI en los datos de seguridad.
Si requiere acceso gestionado o soporte externo, formalice acuerdos separados que definan alcance y salvaguardas.
SCaptcha 2.3.0 behavior
Cada desafío usa una sal criptográficamente aleatoria e independiente de 32 bytes. La instalación de WoltLab valida la sal, el hash, el algoritmo, la solución y el HMAC en la sesión que lo emitió. Caduca a los 60 segundos y no requiere un proveedor CAPTCHA externo.
Está desactivada de forma predeterminada. Al activarla, SCaptcha envía la IP pública a proxycheck.io para obtener indicios de proxy, VPN o Tor. SCaptcha 2.3.0 envía tag=0 por defecto; el administrador puede activar el registro del proveedor. La IP se transmite en cualquier caso.
El marcador previo al envío y la prueba opcional de texto o audio duran 5 minutos. Under-Attack usa una cookie firmada y vinculada al agente de usuario durante 5–30 minutos (10 por defecto). Sentinel puede guardar una denegación del servidor durante 10 minutos y está desactivado por defecto.
La analítica de solicitudes está activada por defecto y puede guardar datos operativos vinculables, incluidos IP, agente de usuario, solicitud, red, ubicación, motivos y telemetría enviada. La retención predeterminada es de 90 días y puede ajustarse entre 1 y 3650. Desactivarla no borra registros ni exportaciones existentes.
What operators need to review
Document enabled features, limit access to security logs, and assess optional external services separately. SCaptcha does not replace legal review or accessibility testing of the complete website.
Enable only the options you need. Update privacy and cookie notices, restrict access to analytics and logs, and test the actual form integration before launch.