La información de tu negocio es tuya. Aquí contamos cómo la cuidamos, en palabras que cualquiera entiende y con el detalle que tu técnico va a querer revisar.
Todos nuestros clientes corren sobre el mismo sistema. Aun así, cada negocio vive encerrado en su propio candado y nadie más ve lo suyo. Esa regla no la aplica un programador con cuidado: está escrita dentro de la base de datos, que es la que decide, y una prueba automática intenta romperla cada mañana para confirmar que sigue de pie.
Cada dato lleva grabado a qué negocio pertenece. Si una consulta pide algo de otra cuenta, la base no lo entrega, sin importar de dónde venga el pedido. Aunque el programa se equivocara por arriba, abajo el candado sigue puesto.
Desactivas el acceso de una persona y queda fuera en el acto. No al día siguiente, no cuando toque revisar. Si alguien deja tu empresa un martes, esa tarde ya no ve tu información.
Para vigilar fallas, casi todos los sistemas mandan a empresas extranjeras copia de lo que pasa dentro del panel. Nosotros armamos ese registro por dentro y lo guardamos con el resto. Nos costó más trabajo, pero la Ley 29733 nos obliga a saber dónde termina la información de tus clientes, y preferimos que termine en un solo lugar.
Si una cuenta se elimina, el sistema exporta primero toda su información. Cuando ese respaldo falla, el borrado no ocurre: preferimos abortar la operación antes que perder un solo dato tuyo.
Una prueba automática se hace pasar por un cliente e intenta leer, escribir y modificar los datos de otro, en los dos sentidos. Si algún día lo consigue, el sistema se frena y no se publica el cambio hasta que esté resuelto.
No te entregamos un programa para que lo mantengas tú. Vive en nuestra infraestructura, lo actualizamos nosotros y respondemos nosotros. Una falla se corrige una vez, en el origen, y queda corregida para todos los clientes el mismo día.
Un dueño no pregunta qué tecnología usamos. Pregunta qué pasa el día que algo salga mal. Ese día lo preparamos antes de que llegue. Los datos ya están aislados, el respaldo ocurre antes de cualquier borrado, un acceso se corta en segundos, y al otro lado hay una persona del equipo con nombre, en un WhatsApp, no un ticket número 4392.
Cada negocio que trabaja con nosotros tiene una persona asignada y un WhatsApp directo. Si tienes una duda de seguridad antes de decidir, pregúntala. Te vamos a responder con la verdad, incluso cuando la verdad sea que todavía no llegamos hasta ahí.
Habla con el equipoEsta parte está escrita para quien nos va a auditar. Son los controles que hoy corren en producción, contados con el nivel de detalle que corresponde a una página pública. Si tu equipo necesita el detalle fino, lo revisamos con ellos en una llamada.
| Control | Estado | Cómo está implementado |
|---|---|---|
| Aislamiento por fila | Activo | Todas las tablas del negocio tienen Row Level Security activa, con políticas que exigen rol y cuenta a la vez. El frontend filtra por comodidad; la que decide es la base. |
| Sin sesión no hay datos | Activo | El rol anónimo no tiene privilegios sobre las tablas del negocio. Aunque alguien tome la clave pública que vive en el navegador, no obtiene ni una fila. |
| Escrituras públicas selladas en el servidor | Activo | Un formulario nunca decide a qué cuenta pertenece lo que envía. El servidor resuelve el negocio por su dominio, y los mensajes de WhatsApp por el número al que llegaron. Lo que diga el navegador no se cree. |
| Segundo factor | Activo | La administración de la plataforma exige un segundo factor verificado. Sin él, la sesión pierde esos permisos automáticamente, aunque el usuario sea quien dice ser. Los administradores de cada negocio también pueden activarlo, y se lo recomendamos. |
| Doble llave en lo irreversible | Activo | Eliminar una cuenta pide segundo factor reciente, una frase de confirmación escrita a mano y un respaldo completo. Si el respaldo no se completa, el borrado se cancela. |
| Política de contenido en el navegador | Activo | El panel y los sitios de cliente aplican una CSP que bloquea de verdad, no solo advierte: nada de scripts de fuera, nada de código evaluado al vuelo, y el panel no puede embeberse dentro de otra página para engañar a un usuario. |
| Mensajes entrantes firmados | Activo | Cada mensaje de WhatsApp que llega se valida contra su firma criptográfica. Si la firma no cuadra, se descarta. Y si el sistema no encuentra su secreto de validación, rechaza todo el tráfico en vez de dejarlo pasar. |
| Freno a los envíos automatizados | Activo | Los formularios públicos tienen límites por origen y por cuenta dentro de una ventana de tiempo. Los intentos quedan registrados en una tabla que ningún cliente puede leer, para que la dirección de un visitante no quede a la vista de nadie. |
| Origen restringido en el servidor | Activo | Las funciones que trabajan con una sesión iniciada solo atienden peticiones de orígenes autorizados. Una página ajena no puede pedirles nada en nombre de tu usuario. |
| Anti-bot en el ingreso | Activo | Cloudflare Turnstile protege el acceso, y el token se verifica en el servidor, no en el navegador. No usamos reCAPTCHA: molesta al usuario y no protege más. |
| La sesión caduca sola | Activo | Una sesión abierta no dura para siempre. Vence y obliga a entrar de nuevo, aunque nadie se acuerde de cerrarla. |
| Registro de errores propio | Activo | Los errores del navegador se guardan en nuestra base, no en un servicio extranjero. Solo Moderniva los lee, ni siquiera el propio cliente, porque el detalle de un error puede arrastrar datos personales de terceros. |
| Cifrado en tránsito | Activo | Todo viaja por HTTPS con certificados gestionados por Cloudflare, incluidos los dominios propios de cada cliente. |
| Cambios versionados | Activo | Ningún cambio de la base ocurre a mano sobre producción. Todo queda escrito, versionado y es reversible. |
Un control que nadie comprueba es una promesa, no una garantía. Por eso las comprobaciones no dependen de que alguien se acuerde de correrlas. Corren solas, y si fallan, frenan la publicación de cualquier cambio.
Cada mañana, y también con cada cambio del sistema, dos negocios de prueba intentan robarse los datos el uno al otro. Leer sin sesión, colarse en las filas del vecino, insertar información atribuyéndola a otra cuenta, modificar lo ajeno, abrir sus archivos. Todo eso debe fallar. Si algo pasa, la prueba se detiene con una orden clara: no desplegar.
Antes de publicar, recorremos las pantallas del panel con la protección real puesta, en modo claro y oscuro, exigiendo que la consola quede sin errores. Incluye una prueba al revés: cargamos a propósito un script de fuera y confirmamos que el navegador lo rechaza.
La base pasa por un analizador de seguridad que busca permisos abiertos de más y reglas mal puestas. Hoy no arroja ningún hallazgo crítico. Lo que queda son avisos menores, revisados uno por uno, y algunos se mantienen a propósito porque quitarlos rompería el propio candado.
Nuestros clientes no tienen copias distintas del sistema. Comparten el mismo motor y sus diferencias viven en la configuración. Eso importa en seguridad más de lo que parece: un problema descubierto en un negocio se arregla una sola vez, en el origen, y queda arreglado para todos a la vez. Nunca parchamos el caso de un cliente dejando a los demás esperando su turno.
No tenemos veinte personas en un departamento de seguridad, y no vamos a fingir que sí. Lo que tenemos es un sistema construido con el aislamiento como primera regla, pruebas que corren solas todos los días, un contrato firmado y una empresa con nombre y dirección en Trujillo. Si encuentras algo que no cuadra, escríbenos y lo revisamos contigo.