Cómo protegemos tus certificados

Todos los archivos de certificado (.p12, .cer, .key, .pem) se almacenan cifrados con AES-256-GCM siguiendo un modelo de clave de dos niveles: cada archivo tiene su propia clave de cifrado de datos (DEK), envuelta por una clave de cifrado de claves (KEK) gestionada en AWS KMS. Las contraseñas de certificados se cifran antes de escribirse en la base de datos — no se aplica hash, porque deben usarse operacionalmente para cargar los certificados.

AlertaCert soporta llaves de acceso biométricas (Face ID, huella digital, Windows Hello) como segundo factor de autenticación. Las llaves de acceso son resistentes a phishing por diseño — nunca se transmiten al servidor.

Las acciones de alto riesgo — revelar contraseña, descargar certificado, eliminar, firmar documentos, gestionar miembros — requieren re-autenticación reciente. Si tu sesión es antigua, se te pedirá confirmar tu identidad antes de proceder.

Cada organización tiene roles de administrador y miembro. Los miembros no pueden invitar usuarios, cambiar roles, eliminar clientes, ni cancelar flujos de firma. Los administradores controlan exactamente qué permisos son sensibles en su organización.

Cada acción sensible — subida, descarga, revelación de contraseña, firma, eliminación, cambio de rol — queda registrada en un log de auditoría. El log no tiene política de INSERT, UPDATE ni DELETE para ningún usuario ni administrador: solo el cliente de servicio puede agregar entradas. Las entradas del log están encadenadas por hash — cada entrada incluye el hash de la anterior, haciendo detectable cualquier manipulación silenciosa.

Los endpoints de carga, descarga, firma y autenticación tienen límites de tasa por usuario. Los intentos excesivos son bloqueados antes de llegar a la base de datos.

Cada tabla de la base de datos tiene RLS (Row-Level Security) habilitado. Los datos de una organización son inaccesibles desde consultas de otra organización, incluso si se usa la misma instancia de base de datos. Las claves de rol de servicio se almacenan en gestión de secretos, nunca en el código de la aplicación, y se rotan regularmente. Las URLs de archivos se firman con ventanas de expiración cortas y se sirven a través de un proxy del lado del servidor — nunca con larga duración ni predecibles públicamente.

Cada archivo subido es validado por magic bytes antes de almacenarse. Un archivo que no sea DER/PKCS12 o PEM válido es rechazado. Nunca se almacenan archivos arbitrarios disfrazados de certificados.