Chaindoc logoChaindoc

Mejores prácticas de seguridad

Chaindoc cifra documentos en reposo (AES-256) y en tránsito (TLS 1.3), verifica la integridad en blockchain y registra cada acción. Aquí te explicamos qué viene incluido y qué deberías configurar antes de salir a producción.

La mayoría de las funciones de seguridad funcionan automáticamente. Pero hay configuraciones que deberías activar (MFA, restricciones de IP) y hábitos que tu equipo debería adoptar (rotación de claves, revisiones de acceso). Esta guía cubre ambos aspectos.

Autenticación

Autenticación multifactor

Actívalo para todos. No solo para administradores. Es la medida más efectiva que puedes tomar. Chaindoc soporta:

  • Apps de autenticación (TOTP) — Google Authenticator, Authy, 1Password
  • Códigos SMS — funciona pero es menos seguro. Usa apps de autenticación cuando sea posible.
  • Llaves de seguridad físicas (FIDO2/WebAuthn) — la opción más robusta
  • Autenticación biométrica en dispositivos móviles

Políticas de contraseñas

Si no usas SSO, exige contraseñas fuertes. Chaindoc te permite configurar longitud mínima (12+ caracteres recomendados), requisitos de complejidad, intervalos de expiración y bloqueo tras intentos fallidos. También puedes impedir el reuso de las últimas 10 contraseñas.

Control de acceso basado en roles

Dale a cada persona solo el acceso que necesita. Chaindoc tiene roles predefinidos (Owner, Admin, Manager, Member, Guest, Auditor) y soporta roles personalizados con permisos por acción. Revisa las asignaciones trimestralmente y elimina lo que ya no se necesite. Consulta la documentación de gestión de equipos para saber cómo configurarlo.

Cifrado

En reposo

Todos los documentos se cifran con AES-256 en almacenamiento. Las copias de seguridad se cifran con claves separadas. Las claves de cifrado se gestionan a través de un servicio KMS dedicado y se rotan trimestralmente.

En tránsito

Todas las conexiones usan TLS 1.3. Los cipher suites débiles están desactivados. Las cabeceras HSTS aseguran que los navegadores nunca retrocedan a HTTP. Esto aplica al app web, a la API y a las transacciones blockchain.

Seguridad de claves API

Las claves API son la fuente más común de problemas de seguridad. Una clave secreta filtrada otorga acceso total a tu cuenta de Chaindoc.

Las claves públicas (`pk_`) están diseñadas para uso en frontend y tienen acceso de solo lectura, así que son seguras de incluir en bundles del cliente. Para más información sobre tipos de claves, consulta la guía de integración API.

Verificación blockchain

Cada documento publicado recibe un hash escrito en blockchain. Esta es la parte a prueba de manipulaciones. Incluso si alguien accediera directamente a la base de datos, no podría modificar un documento sin que el hash blockchain resultara inválido.

  • Los hashes de documentos se registran al publicar y en cada cambio de estado (firmas, anulación, etc.)
  • Los recibos de transacciones se almacenan con el documento para fácil verificación
  • Cualquiera puede verificar independientemente un documento contra el registro blockchain
  • El registro es permanente — sobrevive incluso si Chaindoc desaparece

Para documentos de alto valor, vale la pena verificar el registro blockchain después de firmar para confirmar que todo coincide.

Seguridad de webhooks

Si usas webhooks, verifica la firma HMAC en cada solicitud entrante. Sin esto, alguien podría enviar eventos falsos a tu endpoint. La guía de webhooks incluye el código de verificación.

Cumplimiento normativo

La infraestructura de Chaindoc está certificada SOC 2 Tipo II. Dependiendo de tu industria, puede que necesites configurar opciones adicionales:

  • GDPR — opciones de residencia de datos (UE, US, Asia), derecho al olvido, portabilidad de datos. Las políticas de retención documental gestionan la eliminación automática.
  • HIPAA — registro de auditoría y controles de acceso para documentos sanitarios. Contacta con soporte para un BAA.
  • SOC 2 — los controles de seguridad están documentados. Se realizan auditorías externas anuales.
  • eIDAS / ESIGN Act / UETA — el cumplimiento de firmas está integrado para los tres tipos de firma.
  • ISO 27001 — las prácticas de gestión de seguridad de la información están alineadas con ISO 27001.

Registro de auditoría

Chaindoc registra cada acción: inicios de sesión, acceso a documentos, ediciones, eventos de firma, cambios de permisos y llamadas API. Los registros se almacenan en un sistema a prueba de manipulaciones y se retienen durante al menos un año (más tiempo si tu política de retención lo requiere).

Puedes exportar registros de auditoría para revisiones de cumplimiento externas. Los intentos de inicio de sesión fallidos y actividad sospechosa activan alertas si has configurado el monitoreo.

Monitoreo y respuesta a incidentes

Configura alertas para intentos de inicio de sesión fallidos, actividad inusual de API y escalada de permisos. Chaindoc se integra con sistemas SIEM si tu equipo de seguridad usa uno.

Ten un plan de respuesta a incidentes listo. Saber quién contactar, qué desactivar y cómo comunicar una brecha. Prueba el plan al menos una vez al año. Para incidentes de seguridad relacionados con Chaindoc, contacta security@chaindoc.com.

Lista de verificación pre-producción

Revisa esto antes de salir a producción:

  1. MFA habilitado para todas las cuentas
  2. Políticas de contraseñas configuradas (12+ caracteres, bloqueo tras 5 fallos)
  3. Roles asignados con acceso de mínimo privilegio
  4. Cifrado AES-256 confirmado (habilitado por defecto)
  5. TLS 1.3 forzado en todos los endpoints
  6. Claves API almacenadas en variables de entorno o gestor de secretos
  7. Claves de prueba reemplazadas por claves de producción
  8. Rate limiting configurado para endpoints API
  9. Verificación HMAC de webhooks implementada
  10. Registro de auditoría habilitado y período de retención definido
  11. Monitoreo de seguridad y alertas configurados
  12. Plan de respuesta a incidentes documentado
  13. Copias de seguridad probadas (intenta una restauración)
  14. Requisitos de cumplimiento documentados y cumplidos

Qué hacer a continuación