Resumen de seguridad

Aislamiento de inquilinos

Las filas de cada espacio de trabajo están separadas por seguridad a nivel de fila aplicada en Postgres, no solo en el código de la aplicación; los índices de búsqueda se hicieron para funcionar bajo esa política, no rodeándola. Los archivos subidos se guardan bajo claves por espacio de trabajo y se sirven como descargas salvo que sean imágenes; los archivos de un chat llegan a los visitantes mediante enlaces que caducan a los diez minutos. Un espacio de trabajo suspendido o cerrado detiene a la vez cada clave de API, token de app y de bot, sesión, chat y conexión en vivo. Las fotos se guardan sin la ubicación, el dispositivo y otros metadatos que los móviles escriben en ellas.

Identidad

Las contraseñas usan Argon2id. Cada persona puede activar la autenticación de doble factor desde la página de seguridad de su cuenta: escanea un código QR generado en el navegador, confirma con un código y guarda los códigos de recuperación de un solo uso; desactivarla exige la contraseña y un código. La misma página lista cada navegador con sesión iniciada, para cerrar una o todas las demás. Los espacios de trabajo pueden añadir sus propios proveedores de inicio de sesión único por OpenID Connect, limitados a sus dominios de correo; a quien haya activado el doble factor se le sigue pidiendo su código. Los administradores pueden exigir el doble factor a todos los miembros, de inmediato o tras un periodo de gracia de siete o catorce días, y los administradores de la propia plataforma Kommio están obligados a usarlo. Las sesiones viven en el servidor, con vida absoluta y por inactividad. Las claves de API, los tokens de bot y los tokens de app se guardan como hashes, limitados a un espacio de trabajo y a un conjunto de permisos.

Autorización

Los roles deciden permisos, qué conversaciones ve una persona y si los campos sensibles, como correos, teléfonos, datos de pago y direcciones IP, se ven, se enmascaran o se ocultan. Nadie puede crear un rol, cambiar a un miembro, invitar a alguien ni aprobar una app con más de lo que tiene. Las automatizaciones se ejecutan con los permisos de quien las creó; las apps con los alcances que un administrador aprobó al instalarlas. Desactivar o eliminar a un miembro, restringir su rol, revocar una clave de API o suspender un espacio de trabajo muestra antes a qué afecta y exige escribir el correo, el nombre de la clave o el nombre del espacio; las reglas, bots, webhooks y apps de un miembro que se va pueden pasar a un compañero con los permisos necesarios, y las reglas cuyo autor se ha ido quedan en pausa hasta que alguien se haga cargo de ellas. Los atributos personalizados que guardan documentos de identidad, datos de pago u otros datos personales pueden marcarse para que sigan las mismas reglas, y la página Acceso muestra, para cada persona, qué conversaciones ve y cómo ve cada tipo de dato. Los archivos que contienen un documento de identidad u otros datos personales pueden marcarse desde el hilo o mediante una regla, y a partir de ahí siguen el mismo permiso: se muestran, se enmascaran o se ocultan según el rol, nunca se envían a un proveedor de IA, aparecen en las exportaciones solo para quienes pueden verlos, y se eliminan tras el periodo de retención que el espacio de trabajo fija para los documentos de identidad.

Auditoría

Cada cambio registra quién, qué, antes y después. Revelar un valor enmascarado es un permiso aparte y genera su propia entrada de auditoría con un motivo opcional, y la página Política de seguridad lista quién reveló qué en los últimos 30 días, enlazado al registro de auditoría. Cuando el propio sitio web de un cliente actualiza el nombre o el correo de un contacto al iniciar sesión, o fusiona un chat anónimo anterior, el cambio se registra y se muestra en el contacto. Cada correo entrante se guarda además tal como llegó, 90 días por defecto (un ajuste del espacio de trabajo), y se borra en cuanto se borra el contacto; solo una persona que gestiona bandejas de entrada y puede leer el mensaje completo sin enmascarar puede descargar una copia, y cada descarga queda en la auditoría.

Cifrado

Las credenciales de canal, los secretos de SSO, las claves de proveedores de IA y los tokens se cifran en reposo con cifrado de sobre y no vuelven a mostrarse una vez guardados. TLS se usa en todo el tránsito.

Chat del sitio web

Qué sitios pueden mostrar el chat de un espacio de trabajo lo controla el propio navegador. Un visitante solo se convierte en contacto cuando hay una conversación: un visitante anónimo se conoce solo por un token aleatorio en su navegador, sin huella digital del navegador, y un visitante con sesión iniciada, cuya identidad garantiza su sitio, se guarda como una sesión de chat, no como contacto, hasta que escribe, un agente inicia un chat con él o deja un correo; una sesión sin actividad durante 30 días (el periodo es un ajuste del espacio de trabajo) se elimina. El contexto de navegación solo se envía con el primer mensaje. El sitio de un cliente identifica a los visitantes con sesión iniciada con una firma de su propio servidor, y un correo escrito en el chat nunca vincula por sí solo a dos personas. Cada espacio de trabajo decide si las direcciones IP de los visitantes se guardan completas, abreviadas o no se guardan.

Asistencia con IA

Desactivada hasta que un administrador la activa, con la asignación gratuita de IA de Kommio Cloud o con la propia clave de proveedor del espacio de trabajo. Solo se envía lo que una tarea necesita: los mensajes recientes, el nombre del cliente y correos o teléfonos solo cuando quien lo pide puede verlos. Nunca se envían los campos de pago y de documentos de identidad, los números de tarjeta escritos en los mensajes, las notas privadas en las sugerencias de respuesta ni los atributos personalizados. Kommio no guarda instrucciones ni respuestas, solo recuentos de uso para el presupuesto. El agente de IA opcional responde solo a partir de tu base de conocimiento, nunca muestra contenido interno a los clientes, no recibe los correos ni los teléfonos de los contactos y traspasa a una persona cuando no está seguro.

Confianza entrante y saliente

Los webhooks de proveedores se verifican por firma antes de analizarse. Las peticiones salientes a URLs proporcionadas por clientes (webhooks, bots, apps, proveedores de IA) pasan por un único cliente a prueba de SSRF que rechaza rangos privados y limita tamaño y tiempo. Los webhooks salientes, las entregas a bots y los hooks de apps van firmados. Los cuerpos de correo en HTML se sanean al guardarse y de nuevo al mostrarse. Las instalaciones autoalojadas pueden analizar con ClamAV cada archivo subido o recibido antes de almacenarlo: un archivo detectado se rechaza o se sustituye por un aviso y nunca se sirve. Está desactivado por defecto, y Kommio Cloud todavía no analiza archivos.

Navegador

La app del agente se sirve con una Content Security Policy estricta: scripts, fuentes y conexiones solo del mismo origen, sin frames ni objetos, y no puede incrustarse. Los paneles de apps se ejecutan en iframes aislados con un contexto firmado y de corta duración.

Operaciones

Roles de base de datos con mínimo privilegio, análisis de dependencias y de contenedores con cada cambio, versiones que solo se publican cuando pasa todo el conjunto de pruebas y se ha ensayado una actualización desde las versiones anteriores, y un proceso de divulgación documentado. Kommio Cloud se despliega sin interrupciones: la nueva versión arranca junto a la antigua y toma el relevo cuando está lista. Las instalaciones autoalojadas tienen copias de seguridad integradas, desactivadas por defecto, que escriben un volcado cifrado de la base de datos y los archivos almacenados en un disco o un bucket según un calendario; la clave de cifrado nunca forma parte de una copia. En Kommio Cloud, el registro tiene un límite de tasa por dirección y por dominio de correo, y se rechazan las direcciones de correo desechables. Las copias de seguridad autoalojadas se restauran cada semana en una base de datos de prueba y se comprueban, con una alerta si no lo consiguen, y también pueden cifrarse para una clave de custodia guardada fuera de línea.

Informar de una vulnerabilidad

Escribe a [email protected]. Acusamos recibo en dos días laborables y te mantenemos informado hasta resolverlo.