Cifrado del material
La llave privada y el certificado se guardan cifrados conAES-256-GCM. La clave de cifrado no vive junto al dato: se obtiene de un proveedor de claves separado, por organización.
Nos entregas tu llave privada.
Firmar documentos tributarios en tu nombre exige custodiar el certificado digital con el que se firman. Esta página describe qué hacemos con él — y qué no podemos afirmar todavía.
Lo que el sistema hace hoy
Seis propiedades, cada una implementada y verificable en el código.
La llave se presta, no se reparte
Ningún componente recibe la llave para guardarla. Se presta parauna operación concreta —firmar este documento, con este propósito— y el préstamo termina cuando la operación termina, incluso si falla.
Cada acceso queda registrado
Toda vez que se presta material queda una fila con qué credencial,para qué propósito, sobre qué documento, quién lo pidió y con qué resultado. Sin excepciones ni rutas alternativas.
La bitácora no se puede alterar
No es una convención: son disparadores en la base de datos. El historial y las bitácoras rechazanUPDATE y DELETE, y los certificados no admiten borrado. Ni la aplicación puede saltárselo.
Aislamiento entre organizaciones
Cada organización solo alcanza sus propias filas, impuesto por la base de datos con Row Level Security en modoFORCE — que somete también al propietario de la tabla. Un error de la aplicación no expone datos de otra organización.
El lector de formatos antiguos va aislado
Algunos certificados válidos usan cifrado antiguo que exige habilitar compatibilidad heredada de OpenSSL. El proceso principalnunca la carga: esa lectura ocurre en un subproceso separado y acotado.
Lo que todavía no afirmamos
Una página de seguridad vale por lo que se puede comprobar. Estas preguntas no tienen todavía una respuesta que resista una revisión del código, así que no las respondemos aquí.
- Qué puede ver nuestro personal técnico.Depende de permisos de infraestructura, no solo del código, y no está documentado como garantía.
- Cuánto tiempo conservamos los datos y cómo se eliminan.No hay una política de retención implementada.
- Qué ocurre al revocar o al caducar un certificado.El sistema modela el estado del certificado, pero el ciclo completo no está verificado.
- Borrado de la llave en memoria.El préstamo se cierra y la referencia se libera, pero el lenguaje no garantiza que los bytes se sobrescriban. Decir lo contrario sería prometer más de lo que el código cumple.
Esta página se actualiza cuando cambia el sistema, no cuando cambia el argumento de venta.