Seguridad

Nodalix es una operación profesional individual a cargo de Alejandro Bermúdez Bedoya, en Medellín, Antioquia (Colombia). La producción se despliega sobre un servidor VPS de Hostinger, con Cloudflare al frente para DNS, TLS y filtrado de tráfico. Vercel y Supabase se usan solo para entornos de prueba y versiones demo.

• En tránsito: todo el tráfico viaja sobre HTTPS con certificados TLS válidos y renovación automática, más la capa de Cloudflare, con redirección forzada desde HTTP. Las llamadas a APIs de terceros y las conexiones administrativas al servidor (SSH) se hacen siempre sobre canales cifrados.
• En reposo: en un VPS, el cifrado del disco no viene activado por defecto como en un servicio gestionado. Por eso, cuando el proyecto trata datos sensibles, se define explícitamente la medida a aplicar —cifrado a nivel de columna para los campos críticos, respaldos cifrados, o ambos— y se deja constancia en la propuesta. Si nada de esto se pacta, los datos residen sin cifrar en el volumen del servidor, protegidos por el control de acceso al sistema pero no por criptografía.
• Contraseñas de usuario final: nunca se almacenan en texto plano. Se guardan con funciones de hashing lento y con sal, usando librerías establecidas. No se implementan esquemas criptográficos propios.

• Nada de secretos en el repositorio. Claves de API, tokens y cadenas de conexión viven en variables de entorno del proveedor de despliegue. Los archivos .env están excluidos del control de versiones.
• Menor privilegio. Se solicitan los permisos mínimos necesarios y, cuando la plataforma lo permite, se usan llaves con alcance restringido en lugar de credenciales de administrador.
• Doble factor. Las cuentas de trabajo de Nodalix (correo, GitHub, Vercel, Supabase) tienen autenticación de dos factores activa.
• Entrega y revocación. Las credenciales del cliente se solicitan por canales privados, nunca en grupos ni en texto plano en chats compartidos, y deben ser revocadas por el cliente al terminar el proyecto o el periodo de soporte.

• Entornos separados. La producción vive en el VPS; las pruebas y demos, en Vercel y Supabase. Son infraestructuras y credenciales distintas, y no se desarrolla directamente contra la base de datos de producción.
• Validación en el servidor. Toda entrada de usuario se valida en el backend, no solo en el navegador. Las consultas usan parámetros para evitar inyección SQL y, cuando la base de datos lo soporta, se activan políticas de acceso por fila.
• Dependencias revisadas. Se prefieren librerías establecidas y en versión fijada, y se revisan las alertas de vulnerabilidades del ecosistema (npm audit, avisos de GitHub) antes de desplegar.
• Configuración base del servidor. Al aprovisionar un VPS: acceso SSH por llave y no por contraseña, sin ingreso directo como root, firewall que expone únicamente los puertos necesarios (web y SSH), base de datos escuchando solo en la interfaz local y actualizaciones de seguridad al día en el momento de la entrega.
• Historial versionado. Todo el código vive en control de versiones, con historial auditable de qué cambió y cuándo.

• Acciones acotadas. Un agente solo puede ejecutar las operaciones que se le habilitan explícitamente. Las acciones irreversibles o de impacto económico requieren confirmación humana o quedan fuera de su alcance.
• Contexto mínimo. Se envía al modelo solo la información necesaria para la tarea. Cuando es viable, los identificadores sensibles se omiten o se enmascaran antes de la llamada.
• Inyección de instrucciones. El contenido que llega de usuarios o documentos se trata como dato, no como orden. Aun así, ninguna defensa contra prompt injection es infalible: por eso los permisos del agente se mantienen estrechos, que es la mitigación que sí funciona.
• Condiciones del proveedor. Las APIs de OpenAI y Anthropic establecen hoy que el contenido enviado por API no se usa para entrenar sus modelos y que puede conservarse un periodo limitado para control de abuso. Es una condición del proveedor que el cliente debe verificar y aceptar; Nodalix la informa, no la garantiza en su nombre.

En un VPS los respaldos tienen dos niveles, y conviene no confundirlos:

El servidor conserva los registros del servicio web, de la aplicación y de los accesos por SSH, y Cloudflare aporta su propia analítica de tráfico. Sobre proyectos con mantenimiento activo estos registros se revisan periódicamente y pueden configurarse alertas de error o de caída del servicio; sin mantenimiento contratado, quedan disponibles en el servidor para quien lo administre.

Enumerarlo evita conflictos. Nada de lo siguiente forma parte del servicio estándar:

Si tu operación requiere alguno de estos elementos, se puede diseñar y cotizar, o articular con un proveedor especializado. Lo que no vamos a hacer es declararlos como si ya existieran.

Si encuentras una vulnerabilidad en este sitio o en un sistema desarrollado por Nodalix, escríbenos a [email protected] con la descripción, los pasos para reproducirla y su impacto. Acusamos recibo dentro de los tres (3) días hábiles siguientes y te mantenemos informado del avance.