Seguridad en Chataut AI

El inicio de sesión lo gestiona Clerk, un proveedor especializado en autenticación.

Por eso, las contraseñas de las cuentas de Chataut AI nunca se guardan en nuestros servidores. Las funciones administrativas están restringidas a administradores autorizados.

Conectar un asistente de IA a Chataut AI usa OAuth con PKCE y una pantalla de consentimiento explícita.

Los tokens de acceso son de corta duración, solo son válidos en nuestro servidor MCP y se guardan solo como hashes con clave. Puedes revocar una conexión en cualquier momento desde la configuración de tu cuenta, y la pertenencia a la organización se vuelve a validar en cada solicitud. Si un asistente pide comprar o renovar un dominio, o crear un buzón de correo empresarial, el cargo solo se hace después de que el usuario lo apruebe dentro de Chataut AI.

Nuestro sitio web, la aplicación y la API se sirven solo por HTTPS.

Las solicitudes HTTP que reciben se redirigen a HTTPS, y nuestra API envía HSTS. Los sitios web de los clientes, en subdominios de chatautai.com o en sus propios dominios, reciben certificados TLS automáticamente.

Nuestra base de datos funciona sobre PostgreSQL gestionado por Supabase, que cifra todos los datos en reposo con AES-256.

Además, la propia aplicación cifra ciertos secretos con AES-256-GCM y claves versionadas, entre ellos los tokens de acceso de las cuentas de Facebook, Instagram y Meta Ads conectadas para publicar y gestionar anuncios, y las contraseñas de los buzones de correo empresarial.

Los datos de tarjeta se ingresan directamente en los formularios de pago seguros de Stripe y de nuestros demás proveedores de pago.

Así, los números de tarjeta nunca llegan a nuestros servidores y nunca los almacenamos.

Los servidores de producción están detrás de un firewall en la nube y otro en el propio servidor, que solo abren los puertos que necesita cada servicio.

Los puertos internos de la aplicación y de la caché no son accesibles desde internet. La aplicación web y los sitios de los clientes en subdominios de chatautai.com se sirven a través de Cloudflare, y tanto nuestra API como todos los sitios de los clientes aplican límites de solicitudes por IP.

Las nuevas versiones de la aplicación y de la API llegan a producción a través de nuestro pipeline de CI.

Cada versión debe pasar verificaciones de salud al activarse; si no las pasa, se restaura automáticamente la versión anterior.

Nuestro backend envía alertas automáticas ante errores críticos.

La aplicación y la API exponen verificaciones de salud que comprobamos en cada despliegue. Los incidentes de seguridad los gestiona nuestro responsable de seguridad, desde la contención hasta la corrección y el seguimiento.

Los webhooks de Stripe, de nuestros demás proveedores de pago y de Clerk se verifican por su firma criptográfica.

Si la firma no se puede verificar, la solicitud se rechaza antes de procesarla.

Los sitios web que aloja Chataut AI, en subdominios de chatautai.com o en dominios propios de los clientes, se guardan como bloques de contenido estructurado, validados contra un esquema estricto.

La IA redacta el contenido, pero nunca escribe el HTML ni el código que servimos: todo el texto se escapa al generar la página, y las páginas se sirven con una Content-Security-Policy estricta que solo permite los scripts que genera nuestro renderizador.