CONFIANZA / CLICKFISCAL / 03
Seguridad sin promesas vacías.
Un enfoque transparente para credenciales, roles, facturación electrónica, incidentes y continuidad operativa.
Proteger el contexto de cada empresa
La documentación técnica describe autenticación JWT, un modelo de roles y permisos, registros de auditoría, validación y control de acceso a módulos. Su presencia en el código no demuestra por sí sola que cada control haya superado ensayos independientes o que esté activo en toda instalación.
Cada despliegue debe verificar aislamiento de empresas, credenciales, permisos de lectura y escritura, caducidad de sesiones, protección de APIs y autenticación de administradores.
Control de certificados digitales
La firma de XML exige el uso correcto de certificados válidos y la protección de claves privadas. Un operador legítimo nunca debería enviar la contraseña de un .p12 por el formulario de contacto.
El proceso de provisión, uso y revocación debe definirse para cada emisor; no se anuncia custodia certificada de claves ni un HSM si no existe evidencia de su implementación real.
Eventos y trazabilidad
Los informes mencionan bitácoras, eventos de usuarios, cambios en documentos, identificadores de operación y estados DGII. Antes de activar un servicio se debe comprobar que los eventos relevantes se registran y pueden recuperarse de forma segura.
No se afirma que los logs sean inmutables, que todas las copias estén cifradas o que las alertas automáticas funcionen en todas las versiones: los informes presentan estados contradictorios en esas áreas.
Respaldo y recuperación
Las tareas de copias de seguridad, restauración, rotación, retención y continuidad deben acordarse y verificarse por entorno. No existe aquí una promesa de disponibilidad, RPO o RTO idéntica para todos los clientes.
La empresa debe conservar también sus archivos fiscales, certificados y accesos institucionales de conformidad con sus propias obligaciones.
Reporte responsable
Para problemas del servicio escribe a [email protected]. Para vulnerabilidades escribe a [email protected]. Indica versión, módulo, alcance y pasos mínimos reproducibles.
No adjuntes bases de datos, contraseñas, archivos de certificados ni datos identificables de contribuyentes a un primer reporte. Cualquier envío de evidencia sensible requiere un canal convenido por separado.
Puesta en producción
Antes de operar con datos reales corresponde validar respaldo/restauración, separación por empresa, controles de acceso, cifrado en tránsito, gestión de secretos, integridad de emisión y respuesta de DGII.
La ingeniería responsable consiste en verificar los controles en el entorno concreto, no en declarar cumplimientos normativos o certificaciones por el número de funciones enumeradas en una auditoría.
Una pregunta merece una respuesta clara.
Escríbenos sin incluir certificados, claves, datos bancarios ni facturas completas en el primer mensaje.