Saltar al contenido principal
Seguro por diseño

Seguridad y cumplimiento

Cada control, cada cabecera, cada verificación — en producción hoy mismo. Sin "upsell Enterprise" para lo básico.

Herramientas RGPD

Alojamiento en la UE, DPA, marcas de consentimiento y derechos del interesado

Registro de auditoría

Quién hizo qué, con diffs antes/después y exportación CSV (Business)

Control de acceso

Permisos por módulo y por sección, 2FA y lista de IP permitidas

SSO con OIDC

Tokens verificados con JWS y comprobación de nonce (Business)

Todos los controles en producción, en lenguaje claro

Equipos de compras e infoseguridad: esta es la lista completa. Audítala, pégala en tu DDQ o RFP.

Autenticación y SSO

  • SSO con OIDC (Google Workspace, Microsoft Entra, Okta, Auth0, personalizado)
  • Firmas de id_token verificadas con JWS a través del JWKS del proveedor
  • Protección contra repetición con nonce + state (OIDC §15.5.2)
  • Tokens de estado de un solo uso respaldados en base de datos (compatible con múltiples workers)
  • Aprovisionamiento automático de nuevos usuarios sin verificación de correo
  • Límite de intentos de inicio de sesión fallidos (protección contra fuerza bruta)
  • Flujo de verificación de correo con códigos de un solo uso
  • Verificación en dos pasos (app de autenticación) con códigos de recuperación, exigida en el servidor antes de iniciar sesión
  • Caducidad de sesión definida por tu organización y cierre de sesión en todos los dispositivos con un clic; al cambiar la contraseña se cierran las demás sesiones

Control de acceso y permisos

  • Roles integrados: Propietario, Administrador, Miembro y Empleado (solo autoservicio de RR. HH., sin ocupar plaza de usuario)
  • Granularidad por módulo: ninguno / lectura / edición
  • Roles personalizados (p. ej. "Comercial", "Soporte") con plantillas reutilizables, desde el plan Pyme
  • Resolución de roles en tiempo real — edita un rol y todos los miembros se actualizan al instante
  • Control en frontend + guarda en backend (defensa en profundidad)
  • Verificaciones de acceso por módulo mediante guardas de blueprint
  • Propietarios y administradores siempre omiten las restricciones de módulo
  • Los módulos de negocio (ventas, facturación, tesorería, RR. HH.) tienen su propio nivel de permiso por usuario y se pueden activar o desactivar para toda la organización
  • El fichaje de RR. HH. es de autoservicio: cualquier empleado activo puede fichar, sean cuales sean sus demás permisos
  • Los permisos por sección afinan un módulo (por ejemplo Empresas dentro de CRM) y solo pueden reducir el acceso, desde el plan Pyme

Aislamiento de datos y visibilidad

  • Aislamiento estricto de datos por organización (tenant)
  • Modo de visibilidad de registros opcional: los miembros solo ven los registros que les pertenecen
  • Aplicado a contactos, oportunidades, actividades, pedidos, reservas y suscripciones
  • Los GETs de detalle respetan la visibilidad (sin lectura por ID arbitrario)
  • Las mutaciones respetan la propiedad (los miembros no pueden actualizar lo que no les pertenece)

Controles de red

  • Lista de IPs permitidas por organización
  • Compatible con ProxyFix: IP real del cliente detrás de cualquier balanceador o proxy inverso
  • Número de saltos de proxy de confianza configurable (TRUSTED_PROXY_COUNT)
  • Endpoints de autenticación pública, callbacks de SSO y webhooks en lista segura
  • Webhooks protegidos contra SSRF: localhost, RFC1918, link-local, metadatos cloud y multicast, todos bloqueados
  • DNS resuelto antes de acceder a cualquier URL proporcionada por el usuario

Auditoría y registro forense

  • Más de 20 acciones registradas: inicio de sesión (correcto + fallido), cambio de contraseña, inicio de sesión SSO, crear / revocar / aceptar invitación, actualizar / eliminar miembro, crear / actualizar / eliminar / asignar rol, crear / revocar clave API, crear / actualizar / eliminar / regenerar webhook, cambio de configuración SSO, cambio de lista de IPs, cambio de visibilidad de registros, eliminar oportunidad / actividad, cambio de plan, pago fallido
  • Cada entrada almacena: actor, IP, agente de usuario y diferencia antes/después
  • A prueba de manipulaciones: tabla AuditLog de solo escritura
  • Exportación CSV para revisiones de cumplimiento y respuesta a incidentes
  • Filtrable por acción, entidad, usuario y rango de fechas

Cifrado y secretos

  • TLS 1.2+ en tránsito (HSTS aplicado cuando hay HTTPS)
  • Contraseñas con hash Bcrypt
  • Claves API con hash SHA-256 (la clave en bruto se muestra una vez y no se almacena)
  • Secretos de webhook almacenados cifrados, rotables bajo demanda
  • Credenciales de SMTP / Twilio / Meta cifradas en reposo
  • Sesiones firmadas con JWT y tokens de acceso de corta duración
  • Cabeceras X-Frame-Options, X-Content-Type-Options, Referrer-Policy y Permissions-Policy

Seguridad para desarrolladores

  • Claves API con prefijo + secreto con hash (estilo Stripe sk_live_…)
  • Permisos por clave: lectura / escritura, o por recurso (por ejemplo contacts:write, invoices:read)
  • Fechas de caducidad por clave
  • Revocación automática al desactivar o eliminar el usuario
  • Entregas de webhooks salientes firmadas con HMAC-SHA256
  • Firmas de webhooks de Stripe verificadas — rechaza payloads sin firmar en producción
  • URLs de descubrimiento OIDC protegidas contra SSRF
  • Los endpoints de administración, equipo, facturación, SSO, auditoría y claves API nunca son accesibles con una clave API

Privacidad y ciclo de vida de los datos

  • Alojamiento de datos en región UE
  • Derechos RGPD garantizados: acceso, rectificación, supresión, portabilidad, oposición
  • DPA disponible en todos los planes de pago
  • Subencargados publicados en la política de privacidad
  • Automatización de rebotes y bajas (cumplimiento de retención de miembros)
  • Marcadores de consentimiento comercial / de privacidad por contacto
  • Endpoint de exportación de datos (CSV / JSON / XLSX)
  • Retención de datos durante 90 días tras la cancelación de la suscripción y posterior eliminación
  • Tracker web: no se guarda ni se envía nada antes del consentimiento, y se respetan Do Not Track y Global Privacy Control
  • Modo anónimo sin cookies que nunca vincula visitantes con contactos y borrado automático de los datos de un visitante cuando retira el consentimiento

Higiene operacional

  • Robots configurado: scrapers de IA (GPTBot, ClaudeBot, anthropic-ai, CCBot, Google-Extended) explícitamente bloqueados
  • Handlers de webhooks idempotentes (sin procesamiento doble)
  • Respuestas de error estructuradas en todos los endpoints de la API
  • Aplicación estricta de límites de plan (sin facturas inesperadas por exceso)
  • Avisos de cuota al alcanzar el 80 % de cualquier límite
  • Reputación del remitente de correo: guía de SPF / DKIM / DMARC durante el onboarding

¿Has encontrado una vulnerabilidad?

La divulgación responsable es bienvenida y recompensada. Envíanos un informe claro con los pasos para reproducirla a través del formulario seguro. Confirmamos la recepción en 48 h, solucionamos los problemas críticos en 7 días y te mencionamos públicamente una vez parcheado.

Política de privacidad

Controles avanzados, plan a plan.

Los roles personalizados y los permisos por sección empiezan en Pyme. La lista de IP permitidas y la visibilidad de registros, en Pro. El SSO y los registros de auditoría están en Business. La página de precios tiene la tabla completa, sin "consúltanos el precio".

Ver precios