Seguridad con alcance definido

Las APIs filtran por propietario obtenido de la identidad verificada. Las relaciones entre clientes, productos, oportunidades y actividades tienen comprobaciones adicionales en la base de datos. Las pruebas usan dos cuentas ficticias.

Google o correo/contraseña mediante Firebase. El servidor comprueba firma, proyecto, vigencia, correo verificado y estado de la cuenta. No almacenamos contraseñas en la base comercial.

Exportación autorizada, con confirmación reciente de identidad, límite de frecuencia y registro del volumen. Eliminación del espacio y solicitud de eliminación de identidad con reintento si el proveedor falla.

Validación de campos, límites de tamaño, consultas parametrizadas y salida de texto mediante React. Las pruebas cubren IDs ajenos, inyección y relaciones entre cuentas.

Descargas, solicitudes de privacidad, cambios de preferencias, invalidación de sesiones y eliminación. Los eventos de entrada y salida son reportados por el cliente autenticado; no equivalen al historial completo de Firebase.

Contadores persistentes por cuenta para lectura, escritura, exportación y privacidad. La protección de acceso directo a Firebase depende de su configuración; la monitorización unificada de intentos fallidos está pendiente.

CSP con nonce por respuesta, protección de marcos, nosniff y no-store en respuestas de la aplicación. Los estilos permiten inline por compatibilidad. La revisión de configuración perimetral y certificados sigue pendiente.

Alpha opera con un propietario por espacio. La estructura de permisos Owner, Admin, Member y Supervisor está preparada; todavía no existe colaboración entre miembros.

El proveedor de base de datos ofrece capacidades de recuperación. Falta verificar la configuración, retención y restauración del recurso real. Una simulación local no sustituye esa prueba.

MFA, lista de dispositivos, alertas de anomalías y conexión con eventos del proveedor de identidad para Beta.

Políticas Alpha, bases jurídicas, identidad legal del responsable, transferencias internacionales, DPA y contratos de proveedores requieren validación profesional.

Evaluación independiente y pentest antes de 1.0 cuando sea viable. No existe certificación propia ISO/IEC 27001 ni informe SOC 2.

La publicación utiliza una URL HTTPS y el código configura HSTS y redirección. Cloudflare documenta cifrado de D1. No se ha completado una auditoría del certificado, perímetro y configuración efectiva del recurso de producción.