Seguridad
Cómo protegemos tus datos y los de tus contactos
Cifrado
En tránsito
Todas las comunicaciones entre clientes y servidores usan TLS 1.2+. Los webhooks entrantes de Meta son validados con firma HMAC-SHA256 antes de ser procesados.
En reposo
Las credenciales de canales (tokens de Meta, tokens de API) se almacenan cifradas con AES-256-GCM. Los tokens de API del usuario se guardan como hash SHA-256 — nunca en texto plano.
Webhooks salientes
Todos los webhooks que SoyFixio envía a sistemas externos incluyen una firma HMAC-SHA256 para que el receptor pueda verificar su autenticidad.
Aislamiento de datos
Multitenant estricto
Cada organización (tenant) opera en un espacio de datos completamente aislado. No hay posibilidad de acceso cruzado entre tenants — toda query a la base de datos incluye un filtro obligatorio por tenantId.
Row-Level Security (RLS)
La base de datos tiene RLS habilitado en todas las tablas públicas (PostgreSQL 15 vía Supabase). Las políticas se aplican a nivel de motor de base de datos, no solo a nivel de aplicación.
Auth basada en claims
Los tokens de sesión incluyen claims de tenantId y rol. Cada request verifica que el usuario pertenece al tenant al que intenta acceder.
Control de acceso
RBAC de 6 niveles
Roles: OWNER, ADMIN, SUPERVISOR, AGENT, VIEWER. Cada acción de la plataforma tiene un permiso específico asignado a uno o más roles. Los agentes no pueden ver configuración ni datos de billing.
2FA (TOTP)
Los usuarios pueden habilitar autenticación de dos factores basada en TOTP (compatible con Google Authenticator, Authy, etc.) con códigos de recuperación de un solo uso.
SSO empresarial
Soporte para SSO vía Google Workspace, Microsoft 365 y cualquier proveedor compatible con OpenID Connect (OIDC).
Infraestructura
Hosting
Desplegado 100% en Vercel (edge + serverless functions). Base de datos en Supabase (PostgreSQL 15 gestionado, respaldos automáticos diarios).
Rate limiting
Rate limiting por API key, por endpoint y por tenant mediante Upstash Redis. Protección automática contra abuso y ataques de fuerza bruta.
Audit log
Todas las acciones de administración quedan registradas en un log de auditoría inmutable con actor, timestamp y detalle de la acción.
Reporte de vulnerabilidades
Si descubres una vulnerabilidad de seguridad en SoyFixio Chat Hub, por favor reporta de forma responsable a security@soyfixio.com antes de hacer cualquier divulgación pública. Respondemos en un plazo máximo de 48 horas hábiles.
Por favor incluye en tu reporte: descripción del problema, pasos para reproducirlo, impacto potencial y, si es posible, una prueba de concepto.