Seguridad

Tu clave secreta

• Solo backend. Autoriza todo lo que puedes hacer; un navegador no debe verla nunca. Guárdala en tu entorno o gestor de secretos.
• Guardamos un hash SHA-256, no la clave. No podemos recuperarla ni volver a mostrártela — si se pierde, se rota.
• La rotación tiene ventana de gracia. La clave vieja sigue funcionando un tiempo corto para que despliegues sin caídas, y luego muere.
• La revocación es inmediata. Una clave revocada deja de funcionar en la siguiente petición, en todas partes.
• Prefijo autoidentificable. Las claves empiezan por ak_live_/ak_test_ para que los escáneres de secretos detecten una que se filtre a un repositorio.

Mínimo privilegio por scope

provision y broadcasts son independientes. Pide una clave por capacidad y el radio de daño de una filtración se reduce en consecuencia: una clave de integración filtrada no puede escribirle a un solo cliente final.

Aislamiento entre espacios

Esta es la parte que conviene mirar con lupa, porque es la que mantiene a tus clientes separados entre sí y a tus datos separados de los de otros partners.

• Nunca envías un id de espacio. No existe ese campo. Lo derivamos de (tu identidad de partner, tu external_client_ref) — nadie puede ampliar una petición editando un body.
• Cada consulta corre bajo seguridad a nivel de fila ligada a ese único espacio. Las lecturas cruzadas no se filtran a posteriori: son imposibles a nivel de base de datos.
• Las referencias tienen espacio de nombres por partner. El mismo external_client_ref usado por dos partners resuelve a dos espacios distintos. La referencia de otro devuelve 404.
• Una clave ligada a un cliente no puede usar scopes de partner. Se rechaza de plano en los endpoints que resuelven el cliente a partir de una referencia.

Superficie de ataque

La API no tiene superficie de navegador: sin CORS, sin cookies, sin tokens de sesión. Todo el que llama es un servidor con un secreto. No hay nada que embeber ni nada que robar desde una página.

Traza de auditoría

Las provisiones, los signups de WhatsApp, los cambios de administradores y las campañas dejan cada uno un registro append-only con la clave que lo hizo y la IP de origen. Pídenos una exportación cuando quieras; también es visible por partner en el panel de Auphere.

Qué guardamos de los clientes de tus clientes

• Teléfonos, conversaciones y estado de los mensajes — el mínimo operativo para hacer funcionar la mensajería.
• Las bajas, respetadas automáticamente en todos los envíos posteriores.
• Las credenciales que nos envías para los connectors se cifran en reposo y ningún endpoint las devuelve.