Prácticas de seguridad

Controles diseñados en torno al aislamiento de cuentas, la propiedad de las claves y una contabilidad precisa.

Autenticación y claves

Inicia sesión con una clave de cuenta generada de dieciséis dígitos o con correo electrónico y contraseña. Las claves de cuenta se muestran una sola vez, no pueden recuperarse y son independientes de las claves de API. Las sesiones del panel utilizan cookies HttpOnly y comprobaciones de origen. Las solicitudes de API pública requieren claves de API criptográficas independientes. Las claves de API sin procesar se muestran una sola vez y se almacenan como hashes. Las acciones administrativas requieren autorización de rol y MFA.

Integridad financiera

D1 es el almacén autorizado de saldos y registros contables. Las escrituras transaccionales condicionales y los Durable Objects por cuenta protegen las reservas y las liquidaciones. Las referencias financieras únicas evitan la repetición de cargos y abonos. El uso incierto permanece reservado para revisión.

Datos mínimos

Los registros de actividad excluyen prompts, respuestas, datos de herramientas y encabezados de autorización. El registro y el rastreo del cuerpo de las solicitudes del Worker están desactivados. No se incluyen rastreadores publicitarios.

Informar de un problema

Informa de posibles vulnerabilidades a través del contacto de seguridad publicado por el operador. Incluye una descripción concisa, el endpoint afectado y pasos seguros para reproducir el problema. No accedas a los datos de otros clientes ni reveles secretos.

Actualizado el 1 de noviembre de 2026.