Seguridad

Llaves y custodia

• Las llaves privadas de las wallets y de la tesorería se cifran con AES-256-GCM antes de guardarse. La clave de cifrado se mantiene fuera de la base de datos.
• Las llaves solo se descifran al firmar. Ninguna API las devuelve, tampoco la de administración.
• Modificar o vaciar una wallet de tesorería exige confirmar una credencial adicional, que se bloquea tras cinco intentos fallidos. Cada acción queda registrada.

Integridad de los pagos

• Cada retiro se reserva con un identificador único antes de firmarse, y la base de datos rechaza un segundo registro con ese identificador.
• Si un envío falla, la reserva solo se libera cuando se puede demostrar que no llegó a la red. Si hay duda, queda retenida para revisión manual.
• Un depósito se confirma al alcanzar las confirmaciones mínimas definidas para su red.
• Cada depósito se liquida por una sola vía: pago custodial o barrido a la wallet del comercio.

Sanciones

Comparamos las direcciones en ambos sentidos con nuestra lista de bloqueo, que incluye la lista SDN de la OFAC y entradas propias:

• Salida: antes de firmar un retiro de tesorería o de liquidar a la wallet de un comercio. Si el destino aparece en la lista, el envío no se hace.
• Entrada: antes de acreditar un depósito de la API V2. Si el remitente aparece en la lista, el depósito se retiene sin notificarse ni liquidarse hasta revisarlo.
• Si la consulta falla, el pago espera al siguiente intento.

Webhooks

• Si el comercio define un webhook_secret, cada notificación se firma con HMAC-SHA256 en la cabecera X-Signature-256.
• La URL de destino se valida al guardarla y otra vez antes de cada envío, para impedir que apunte a direcciones privadas o internas.

Acceso y aislamiento

• Cada comercio accede solo a sus propios datos, tanto con llave de API como desde el panel.
• Las sesiones del panel usan cookies firmadas y HttpOnly que caducan a los 30 días.
• La llave de API se puede rotar por API en cualquier momento. Al hacerlo, se invalidan todas las sesiones abiertas con la anterior.
• Los intentos fallidos de inicio de sesión se limitan por dirección IP.
• Los procesos programados y las rutas internas que mueven fondos exigen un secreto propio, comparado en tiempo constante. Si ese secreto falta en el servidor, el acceso se rechaza.
• La base de datos no admite acceso anónimo: la aplicación entra con una credencial de servicio.

Transporte

• El sitio y la API se sirven por HTTPS, con HSTS activado para el dominio y sus subdominios.
• El sitio no se puede incrustar en páginas de terceros.

Datos mínimos

Una cuenta no requiere correo, teléfono ni documentos de identidad.

Lee la Política de Privacidad

Desarrollo

• Las pruebas automatizadas y el análisis estático corren en cada cambio.
• Algunas pruebas fallan si una ruta interna queda sin autenticación o si aparece una credencial conocida en el código.
• Las dependencias se revisan cada semana, y cada cambio pasa por una auditoría de avisos de seguridad.

Proveedores

Estos son los proveedores que usamos para operar el servicio: