EntrarCrear cuenta

Seguridad

Cómo protegemos lo que nos confías

Para emitir a tu nombre, Emitay guarda el certificado digital y el usuario SOL de tu empresa. Esto es lo que hacemos hoy para cuidarlos.

Lo que hace Emitay

  • Certificado digital y clave SOL

    • Se guardan cifrados con AES-256-GCM.
    • La clave de cifrado vive fuera de la base de datos: quien obtenga solo la base no puede leerlos.
    • No se escriben en registros y la API nunca los devuelve, ni siquiera a ti.

  • Llaves de API

    • Se muestran una sola vez, al crearlas. Emitay guarda solo su huella (SHA-256).
    • Cada llave pertenece a una empresa y a un modo: una de prueba no puede emitir con valor tributario.
    • Se revocan desde el panel y dejan de funcionar al instante.

  • Cuentas

    • Las contraseñas se guardan como hash, nunca en claro.
    • Nadie inicia sesión sin haber confirmado su correo.
    • Los miembros de una organización tienen roles: solo propietarios y administradores invitan o retiran a otros.

  • Aislamiento entre empresas

    • La empresa es la frontera: toda consulta se filtra por empresa y por modo.
    • Los comprobantes de prueba y los de producción no se mezclan.

  • Red y servicio

    • Todas las conexiones usan HTTPS.
    • Hay límites de frecuencia por llave, por sesión y por dirección.
    • Los sitios aplican una política de contenido estricta: solo se ejecutan sus propios scripts.
    • Si configuras tu servidor de correo, este no puede alcanzar la red interna de la plataforma.

  • Webhooks

    • Cada entrega va firmada con el estándar Standard Webhooks, para que tu servidor compruebe que viene de Emitay.
    • Cada endpoint tiene su propio secreto de firma, que también se guarda cifrado.

  • Operación

    • Los servicios no se ejecutan como administrador del sistema y los secretos no forman parte de las imágenes.
    • Se hacen copias de seguridad de la base de datos fuera del servidor.

Lo que te corresponde a ti

  • Crea un usuario secundario SOL solo para emitir, con los permisos mínimos; no cargues el usuario principal.
  • Guarda tus llaves de API en el servidor, nunca en el navegador ni en una app, y revoca la que pudo quedar expuesta.
  • Verifica la firma de cada webhook antes de confiar en su contenido.
  • Da a cada persona de tu equipo su propia cuenta y el rol que necesita.
Pasar a producción

Si encuentras una vulnerabilidad

Escríbenos desde Contacto con los detalles y danos un tiempo razonable para corregirla antes de hacerla pública. No accedas a datos de otras empresas para demostrarla.

Si ocurre un incidente que afecte tus datos, te avisaremos al correo de tu cuenta. Los incidentes del servicio se publican en Estado del servicio.