Seguridad

OmniaIA separa la interfaz web, la API y la base de datos PostgreSQL. El frontend utiliza Vercel y el backend opera en infraestructura cloud. Las imágenes de campañas pueden almacenarse en Supabase Storage. Las conexiones públicas de producción utilizan HTTPS.

La disponibilidad y protección física de la infraestructura también dependen de los controles de esos proveedores. OmniaIA limita su documentación pública a medidas que forman parte de la implementación actual.

Las contraseñas se transforman con bcrypt y no se guardan en texto legible. El inicio de sesión entrega un token firmado con vigencia de 15 minutos; la aplicación web lo conserva en una cookie HTTP-only, Secure en producción y SameSite=Lax.

Las rutas de inicio de sesión, registro y recuperación de contraseña aplican límites de solicitudes. Los enlaces de recuperación son aleatorios, se almacenan mediante hash, vencen después de una hora y dejan de servir una vez utilizados.

Cada solicitud protegida valida la firma del token, la versión de la sesión, que el usuario esté activo y que pertenezca al centro indicado. Los permisos se asignan mediante roles como propietario, administrador, personal, soporte y superadministrador.

Las operaciones consultan y modifican datos dentro del centro autorizado. Los cambios de centro están reservados a roles con permiso explícito y los centros suspendidos tienen restringidas las operaciones de escritura, salvo flujos necesarios de soporte o pago.

Los tokens de acceso de WhatsApp, Instagram y Facebook se cifran con AES-256-GCM antes de almacenarse. En producción, la clave de cifrado debe existir y ser diferente del secreto utilizado para firmar sesiones.

Las credenciales de Meta, Google, OpenAI, Flow, correo y almacenamiento se mantienen como configuración del servidor. Las respuestas públicas y los registros operativos evitan exponer esos valores deliberadamente.

• Cabeceras HTTP de seguridad mediante Helmet
• Lista explícita de orígenes permitidos para solicitudes del navegador
• Validación estructurada de entradas y límites de tamaño para solicitudes y archivos
• Verificación de firmas y secretos en webhooks compatibles
• Consultas parametrizadas a PostgreSQL mediante Prisma
• Reintentos controlados para trabajos de mensajería y sincronización

La plataforma conserva estados de mensajes, trabajos, sincronizaciones y pagos necesarios para operar y diagnosticar fallos. También registra cambios relevantes, como acciones sobre reservas, consentimiento y configuraciones, cuando el flujo lo requiere.

El acceso a producción y a proveedores se limita al personal que lo necesita para operar o dar soporte. Los períodos de conservación dependen del tipo de registro y de las obligaciones aplicables.

El cliente debe utilizar contraseñas únicas, cerrar sesiones en equipos compartidos, asignar roles mínimos, retirar accesos de personas que ya no trabajan en el centro y mantener seguras sus cuentas de Meta y Google.

Ningún control elimina completamente el riesgo. Recomendamos informar de inmediato accesos sospechosos, mensajes no reconocidos o cambios inesperados en una integración.

Ante un incidente confirmado, OmniaIA busca contenerlo, evaluar su alcance, corregir la causa y comunicar a clientes o autoridades cuando corresponda conforme a la ley y al impacto observado.

Para reportar una vulnerabilidad o incidente, escribe a contacto@omniaia.cl con el asunto "Reporte de seguridad" e incluye los antecedentes necesarios para reproducir o investigar el problema, sin adjuntar datos personales innecesarios.