Fin del soporte directo de Facebook por exigencias de seguridad

Kevin van Zonneveld

Cofundador · Ámsterdam, Países Bajos · Mostrar bio

Tras nuestros recientes problemas con los cambios en la API de Google, nos enfrentamos a una situación similar con Facebook. A pesar de haber superado sus auditorías anuales de seguridad durante años, sus requisitos de 2025 han introducido exigencias incompatibles con los entornos modernos de trabajo distribuido y, francamente, contraproducentes para la seguridad real. Por ello, ya no podemos mantener la aplicación OAuth de Facebook de Transloadit, aunque los clientes pueden seguir usando la integración con sus propias credenciales.

¿Qué pasó?

Cada año, Facebook realiza auditorías de seguridad de las aplicaciones que se integran con su plataforma. Siempre hemos superado estas auditorías al demostrar nuestras sólidas prácticas de seguridad. Sin embargo, este año Facebook añadió un requisito que revela una incomprensión fundamental de cómo funcionan las empresas tecnológicas modernas: ahora exige que instalemos software antivirus en todas las estaciones de trabajo y distribuyamos actualizaciones de definiciones desde un servidor central.

Por qué esto no funciona para nosotros (ni para muchas empresas modernas)

En primer lugar, está la realidad de un equipo distribuido. Transloadit cuenta con un equipo de profesionales independientes que trabajan exclusivamente en sus propios dispositivos, en nuestro caso, MacBooks. Son equipos personales, no propiedad de la empresa. Instalar software de gestión centralizada en dispositivos personales infringiría las leyes de privacidad de varias jurisdicciones, exigiría un nivel de control de los dispositivos inadecuado para las relaciones con contratistas y crearía vulnerabilidades de seguridad al concedernos acceso de nivel root a equipos personales.

La reciente exigencia de Facebook también contradice la arquitectura de seguridad moderna. Nuestro modelo de seguridad sigue los principios de confianza cero. Esto significa que asumimos que todos los dispositivos finales podrían estar comprometidos y aplicamos controles de seguridad a nivel de servidor y API, donde realmente fluyen los datos. Esto es más seguro que depender de un antivirus en los dispositivos finales, que puede generar una falsa sensación de seguridad.

Por último, hay consideraciones específicas de cada plataforma que deben tenerse en cuenta, algo que Facebook no hace con su nuevo requisito. Todos los integrantes de nuestro equipo usan macOS, que incluye XProtect, el sistema antivirus integrado de Apple que se actualiza automáticamente. Instalar además software antivirus de terceros con acceso a nivel de kernel debilitaría la seguridad al introducir superficies de ataque adicionales.

Qué hacemos en su lugar

Aunque no distribuiremos de forma centralizada actualizaciones de antivirus a los dispositivos macOS personales de nuestros profesionales independientes, mantenemos la seguridad mediante:

• Obligaciones contractuales: todos los integrantes de nuestro equipo firman acuerdos que exigen:

  • Actualizaciones automáticas activadas para el sistema operativo y el software crítico
  • Cifrado completo del disco
  • Autenticación de dos factores en todos los servicios críticos
  • Formación periódica en seguridad

• Protección del lado del servidor: donde realmente fluyen los datos de Facebook, mantenemos:

  • Análisis antivirus de los archivos entrantes con ClamAV
  • Actualizaciones diarias automatizadas del sistema operativo y de seguridad
  • Registro y monitoreo exhaustivos
  • Auditorías de seguridad realizadas por terceros
  • Pruebas de penetración continuas

• Aislamiento de la infraestructura: los sistemas de producción están completamente aislados de las estaciones de trabajo de desarrollo, con acceso controlado mediante claves SSH y listas de direcciones IP permitidas.

El agotador intercambio

A pesar de aportar abundantes pruebas de nuestras prácticas de seguridad y explicar en detalle por qué la gestión centralizada de dispositivos finales es imposible e innecesaria para nuestro modelo de contratistas distribuidos, el proceso de revisión de Facebook siguió siendo inflexible. Proporcionamos:

• Capturas de pantalla de nuestros sistemas automatizados de actualización de servidores
• Registros que demuestran las actualizaciones diarias de seguridad en producción
• Pruebas de que ClamAV se ejecuta en todos los servidores que procesan datos de usuarios
• Documentación de nuestros requisitos contractuales de seguridad
• Pruebas de que realizamos más de 52.000 análisis antivirus en un período de 48 horas

Aun así, las respuestas seguían exigiendo «una consola centralizada desde la que se distribuyan actualizaciones de macOS a todos los dispositivos de los usuarios». Es un requisito francamente absurdo que, sobre todo, demuestra una desconexión fundamental entre la informática empresarial y la forma en que realmente funcionan los equipos distribuidos modernos.

Una decisión difícil

Tras meses de intercambios, quedó claro que el proceso de evaluación de seguridad de Facebook está diseñado para empresas tradicionales con equipos propios y departamentos de TI centralizados. No contempla las modalidades modernas de trabajo distribuido, los equipos de contratistas, las arquitecturas de seguridad de confianza cero ni las realidades legales de gestionar dispositivos personales.

Seguir luchando contra esto exigiría recursos que sencillamente no tenemos como pequeña empresa centrada en crear excelentes experiencias de subida de archivos. Más importante aún, cumplir estos requisitos en realidad reduciría nuestro nivel de seguridad al obligarnos a instalar software innecesario con acceso profundo al sistema en equipos que no nos pertenecen.

Impacto en nuestros clientes

Lamentamos profundamente las dificultades que esto causa. Sabemos que muchos de nuestros clientes dependen de la integración con Facebook para sus aplicaciones, y que los cambios que rompen la compatibilidad, como este, son frustrantes. Hemos hecho todo lo posible por mantener esta integración, pero no estamos dispuestos a montar un teatro de seguridad que ponga en riesgo los dispositivos personales de nuestro equipo. Esperamos que Facebook termine reconsiderando su postura, pero no nos hacemos ilusiones.

Cómo seguir adelante: usa tus propias credenciales

Uppy sigue ofreciendo un plugin de Facebook. Para usarlo con tu propia aplicación de Facebook, necesitas:

1. Crear tu propia aplicación de Facebook en developers.facebook.com⁠
2. Completar la revisión de aplicaciones de Meta y cumplir sus requisitos de acceso a producción para los usuarios a los que te diriges
3. Configurar Uppy para usar tus credenciales con una de estas opciones:
   • Tu propio servidor de Companion
   • El Companion alojado de Transloadit con credenciales personalizadas

Configurar credenciales personalizadas con Transloadit

Para el Companion alojado de Transloadit, crea una credencial de terceros en tu Workspace, selecciona «Companion OAuth» y Facebook, y guarda allí el ID y el secreto de tu aplicación de Facebook. Mantén tanto el secreto de la aplicación de Facebook como tu Auth Secret de Transloadit en el servidor, fuera del código del navegador. Pasa tu Auth Key de Transloadit y el nombre de la credencial a tu instancia existente de Uppy:

import Facebook from '@uppy/facebook'
import { COMPANION_ALLOWED_HOSTS, COMPANION_URL } from '@uppy/transloadit'

uppy.use(Facebook, {
  companionUrl: COMPANION_URL,
  companionAllowedHosts: COMPANION_ALLOWED_HOSTS,
  companionKeysParams: {
    key: 'YOUR_TRANSLOADIT_AUTH_KEY',
    credentialsName: 'my_facebook_credentials',
  },
})

Para obtener instrucciones detalladas, consulta nuestra guía sobre el uso de credenciales personalizadas⁠.

Un patrón más amplio

Esto va más allá de Facebook o Google. Existe una desconexión cada vez mayor entre el enfoque de seguridad de las grandes plataformas y la forma en que realmente operan las empresas modernas. Se da por sentado que todas las empresas tienen dispositivos propios, gestión de TI centralizada, infraestructura basada en Windows y relaciones laborales tradicionales.

Esto está claramente alejado de la realidad, y cada vez más. Muchas de las empresas más innovadoras de la actualidad trabajan con equipos distribuidos, contratistas y políticas BYOD. Los modelos de seguridad deben evolucionar para reconocer que la gestión centralizada de dispositivos finales no siempre es posible, ni siquiera deseable.

De cara al futuro

Seguiremos dando soporte al plugin de Facebook en Uppy y ayudando a los clientes que quieran mantener sus propias integraciones. También estamos explorando enfoques alternativos que podrían evitar estos requisitos tan gravosos, de forma similar a nuestros plugins de Google Picker.

Seguimos comprometidos con ofrecer la mejor experiencia posible de subida de archivos, incluso a medida que las integraciones con terceros plantean desafíos cada vez mayores. Gracias por tu comprensión y apoyo continuo.

¿Tienes más preguntas o necesitas ayuda para migrar? Nuestro equipo de soporte está listo para ayudarte a configurar tus propias credenciales de Facebook o explorar soluciones alternativas. Contáctanos y con gusto te guiaremos en el proceso.