La confianza es un mecanismo,
no una insignia.

Respuestas fundamentadas

El catálogo es la fuente de verdad.

El servidor recupera productos candidatos antes de ejecutar el modelo. El modelo solo puede seleccionar IDs de ese conjunto. Los IDs no válidos se descartan, y el precio, el stock, las variantes y las ofertas se generan en el servidor. Si el catálogo no tiene respuesta, el agente lo dice y ofrece una derivación.

Credenciales en reposo

Los secretos están cifrados, vinculados y versionados.

Las credenciales de los proveedores usan AES-256-GCM con un IV aleatorio de 96 bits por registro. Los datos autenticados adicionales vinculan el texto cifrado a provider:{providerId}:account:{accountId}:credentials, de modo que un registro copiado a otro inquilino no se puede descifrar. keyVersion permite rotar claves; un descifrado fallido se cierra en falso en lugar de devolver un secreto.

Solicitudes a Salewise

Firmadas, no solo con token al portador.

Las solicitudes a la API maestra de Salewise llevan una firma HMAC-SHA256 sobre el método, la ruta, la marca de tiempo, el nonce y el SHA-256 del cuerpo. La firma se compara en tiempo constante y está limitada por una ventana de repetición. La clave maestra está en el servidor, se configura una vez, se cifra en reposo y nunca se devuelve a un navegador.

Cuentas y roles

Una cuenta de comercio no es un administrador del servidor.

Sage tiene roles de comercio y de administrador del servidor. Las contraseñas usan scrypt con sales por cuenta. Los tokens de acceso caducan a los 15 minutos; los tokens de actualización se almacenan como hashes, rotan al usarse y caducan a los 30 días. Las invitaciones caducan a los 7 días y están vinculadas al correo invitado.

Aislamiento entre inquilinos

Buscar una tienda es comprobar su propiedad.

Cada ruta de tienda resuelve la tienda y comprueba que pertenece a la cuenta autenticada antes de devolver datos. Los métodos del repositorio están acotados por cuenta y tienda, y el SQL vive detrás de la capa de repositorio, no en los manejadores de ruta.

Datos de tarjetas

Sin pagos, sin PAN.

Salewise no acepta pagos ni almacena datos de tarjetas. La PWA del comprador no tiene proceso de pago y la transacción se queda dentro del POS del comercio. No afirmamos alcance PCI DSS para pagos con tarjeta porque no procesamos pagos con tarjeta.

Conservación

Configurada, no indefinida.

El despliegue de referencia está configurado para 180 días para las transcripciones de sesión y 365 días para los registros de eventos, según el entorno y el DPA. La conservación específica de cada comercio se acuerda en el DPA y la eliminación se gestiona a petición. Hoy no afirmamos que exista una purga programada.

Registro de auditoría

Los eventos relevantes para la seguridad dejan constancia.

La creación de cuentas, el inicio de sesión, los intentos fallidos, las invitaciones, la configuración y los cambios de credenciales de integración se escriben en un registro de auditoría. Los correos se almacenan con hash en los detalles de auditoría, no en claro. El registro es interno hoy; todavía no hay una pantalla de auditoría para comercios.

Límite del modelo

El modelo recibe lo mínimo que necesita.

El modelo recibe la pregunta del comprador, los candidatos recuperados del catálogo, la configuración de la tienda y el texto de las políticas relevantes. No recibe contraseñas, credenciales de API ni datos de tarjetas, y no tiene ninguna herramienta que pueda escribir en el POS.

«Implementado» significa que el control existe hoy en el producto. No significa que todos los controles hayan sido auditados de forma independiente. Las carencias se enumeran al final de esta página.