Seguridad · v1 · 15 mayo 2026

Seguridad, en concreto.

Qué medidas técnicas tomamos para que tu data, tu prompt y los mensajes de tus clientes no terminen en lados raros.

En 30 segundos: TLS 1.3 en tránsito, AES at-rest, tokens y API keys cifrados con Fernet, acceso al backend solo con 2FA, audit log de cada acción, backups diarios, retention de logs 90 días. No tenemos certificación SOC 2 (aún), pero seguimos sus prácticas.

1. Cifrado en tránsito

HTTPS forzado en todo el dominio agents.modularis.pro con TLS 1.3 (TLS 1.2 mínimo).
HSTS habilitado (`max-age: 31536000`) — el browser nunca acepta conexión sin cifrar.
Certificado Let's Encrypt renovado automáticamente cada 60 días.
Las APIs internas (FastAPI ↔ Supabase, FastAPI ↔ Stripe, FastAPI ↔ Anthropic) usan TLS server-to-server.

2. Cifrado en reposo

Base de datos Postgres en Supabase managed → AES-256 at-rest provisto por el proveedor.
Secretos sensibles (API keys de Claude/Shopify/Meta/UltraMSG que vos pegás en el portal) se cifran con Fernet (AES-128 + HMAC-SHA256) antes de guardarse en la DB. La master key vive solo en el env del container, jamás en código ni en la DB.
Tokens de tenant (los mt_*) se hashean (SHA-256) antes de comparación — la DB nunca tiene el token plano.

3. Control de acceso

Acceso del Cliente

Cada Cliente accede SOLO a sus propios datos mediante su tenant_token.
Todas las consultas SQL incluyen filtro obligatorio WHERE tenant_id = ? — auditado en code review.
Rate limiting: máximo 5 signups por IP/hora, 60 requests/min por tenant para evitar abuso.

Acceso del equipo Modularis

Solo Julio Chicas (fundador) tiene acceso admin al backend y la DB.
2FA obligatorio en Portainer, Supabase, GitHub, Stripe y Cloudflare.
Acceso SSH al VPS solo con clave pública (no password). Bastion único, sin acceso público.

4. Auditoría

Tabla tenant_audit_log registra cada acción importante: creación, modificación de prompt, generación/revocación de token, edición de variables, activación/cancelación de suscripción.
El audit log incluye actor (system / tenant / admin), action, target, metadata JSON, IP origen y timestamp UTC.
Retención: 12 meses rolling.

5. Backups y recovery

Supabase realiza backups automáticos diarios (point-in-time recovery a 7 días).
Backup adicional del schema modularis diario a storage privado de Modularis (retention 30 días).
Recovery time objective (RTO): 4h. Recovery point objective (RPO): 24h.

6. Aislamiento entre clientes

Modularis es multi-tenant compartido (no dedicated), pero el aislamiento es a nivel aplicación:

Schema único modularis en Postgres con FK a tenant_id en cada tabla.
Cada query del backend incluye WHERE tenant_id = current_tenant_id.
Pool de conexiones compartido con search_path explícito.
No usamos LLM compartido entre tenants — cada cliente paga su propia API key.

7. Datos sensibles que NO procesamos

Tarjetas de crédito: Stripe maneja los pagos directo. Nosotros solo guardamos el stripe_customer_id y el stripe_subscription_id (referencias, no datos de tarjeta).
Datos PCI: ninguno. No estamos sujetos a PCI-DSS.
Datos médicos: Modularis no es un producto certificado para PHI/HIPAA. Si tu cliente final es del sector salud, asegúrate de no procesar diagnósticos médicos por WhatsApp.

8. Incident response

Si detectamos una brecha de seguridad que afecta data de Clientes:

Aislamos el sistema afectado dentro de las primeras 2 horas.
Notificamos a los Clientes afectados por email dentro de 72 horas con lo que sabemos hasta ese momento.
Publicamos un post-mortem público dentro de 14 días.

Si vos detectaste algo raro (responsible disclosure): hola@modularis.pro con asunto "Security Report". Te respondemos en menos de 24h y te acreditamos en el post-mortem si querés.

9. Lo que aún no tenemos

Para ser transparentes — todavía estamos en etapa temprana. Estos items están en roadmap pero no listos:

SOC 2 Type II — seguimos sus prácticas pero no estamos certificados.
ISO 27001 — no certificados.
Bug bounty pagado — solo responsible disclosure por ahora.
SSO/SAML — solo login con token.

Si tu compra requiere alguno de estos, escribínos — podemos discutir un timeline o si Modularis no es el fit aún.

10. Contacto seguridad

hola@modularis.pro — para preguntas o reportes. Respondemos en menos de 24h hábiles para incidentes activos.