Seguridad

Esta página explica cómo WCX protege las tiendas, a los Compradores y los datos de pago. Describe medidas que la plataforma ya tiene incorporadas.

1. Conexiones cifradas

Todas las páginas y API de WCX, incluidos este sitio, el panel de los Vendedores y las páginas de las tiendas, se sirven por HTTPS (TLS). Las páginas de las tiendas además envían HTTP Strict Transport Security por un año, para que los navegadores usen siempre HTTPS. Las páginas de las tiendas no pueden insertarse dentro de otros sitios.

2. Pagos y datos de tarjeta

1. WCX nunca recibe, guarda ni procesa números completos de tarjeta, fechas de vencimiento ni códigos de seguridad. Los Compradores ingresan los datos de su tarjeta en campos de pago provistos por el procesador de pagos (Stripe o Whop). Esos campos se cargan directamente desde los servidores del procesador, y los datos van directo al procesador.
2. Según el Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS), toda parte que procese, transmita o guarde datos de tarjeta debe cumplirlo. Stripe declara estar certificada como PCI Service Provider Level 1.
3. La página del checkout no carga scripts de publicidad, analítica ni medición de páginas. Además de nuestro propio código del checkout, los únicos scripts allí son los del procesador (incluidas las billeteras que ofrece, como Apple Pay, Google Pay o PayPal) y nuestra protección anti-bots, con una Política de Seguridad de Contenido (CSP) estricta y Trusted Types. Las páginas de ofertas de un clic, donde puede abrirse una hoja de pago con los campos del procesador si un cobro de un clic no pasa, nunca cargan píxeles publicitarios. Si la analítica de páginas de la tienda está activa, puede funcionar en esas páginas, pero no puede leer los campos de pago del procesador.
4. Guardamos solo la marca de la tarjeta, los últimos cuatro dígitos y el país de la tarjeta que informa el procesador, para mostrarle al Comprador qué tarjeta se usa. En las ofertas posteriores a la compra con un clic, las referencias al medio de pago guardado se cifran y se eliminan cuando se cierra la ventana de ofertas (24 horas como máximo).
5. Cuando un banco pide una verificación adicional (3-D Secure), el Comprador la completa en la interfaz del propio procesador.
6. El checkout está protegido con Cloudflare Turnstile y con límites de solicitudes por IP, más estrictos en los intentos de pago. Los Compradores ven mensajes de rechazo genéricos, para que el detalle no ayude a quien prueba tarjetas robadas.
7. Las notificaciones de pago de los procesadores se aceptan solo con una firma válida. La firma se verifica sobre la solicitud original, dentro de una ventana de 5 minutos, con una comparación en tiempo constante.

3. Protección de datos personales

1. Minimización. Los correos y teléfonos de los Compradores se guardan como hash SHA-256 y en forma enmascarada. El correo legible se guarda solo donde hace falta para enviar los correos del Comprador, y se mantiene cifrado (AES-256-GCM) hasta el pago.
2. Cifrado en reposo. La base de datos (Neon) y el almacenamiento de archivos (Cloudflare R2) cifran los datos en reposo con AES-256. Además, la aplicación cifra las credenciales de las cuentas conectadas (AES-256-GCM) con una clave que se puede rotar.
3. Archivos privados. En la biblioteca de miembros de WCX, los productos digitales se guardan en un almacenamiento privado y se entregan solo a los Compradores que tienen acceso, mediante enlaces firmados: los de descarga vencen a los 5 minutos, y los de ver un video o escuchar un audio en la biblioteca vencen a las 4 horas y solo funcionan con la sesión de la biblioteca del Comprador. Cada solicitud vuelve a revisar el acceso, así que un reembolso o un contracargo lo corta de inmediato.
4. Registros sin datos personales. Se ocultan los correos, teléfonos, tokens, firmas y contenidos de las solicitudes. Los reportes de errores no incluyen cuerpos de solicitudes, cookies, encabezados ni parámetros de URL.
5. Plazos de conservación cortos, descritos en nuestra Política de Privacidad.

4. Control de acceso

1. El panel y la API de los Vendedores están detrás de Cloudflare Access, y la aplicación verifica el token de identidad en cada solicitud.
2. Los permisos se asignan por rol y por tienda (dueño, editor, analista y asistente, un rol que solo hace borradores). Los datos de cada organización están aislados: una solicitud sobre la tienda de otra organización se responde como «no encontrada».
3. Los cambios importantes quedan en un registro de auditoría. Los secretos se guardan en el almacén de secretos de Cloudflare, nunca en el código. Las rutas que modifican datos están protegidas contra la falsificación de solicitudes entre sitios (CSRF).

5. La biblioteca de los Compradores

1. Los Compradores inician sesión con un código de 6 dígitos que reciben por correo. Vence a los 10 minutos, admite 5 intentos y se guarda solo como hash con clave (HMAC-SHA-256). La respuesta es la misma tenga o no compras ese correo, para que el formulario no sirva para averiguar quién compró.
2. La cookie de sesión es Secure, HttpOnly, SameSite=Strict y está limitada al dominio de la biblioteca. Los tokens de sesión se guardan solo como hash, y cerrar sesión los revoca.
3. El contenido comprado no se guarda en el dispositivo para usarlo sin conexión.

6. Reportar una vulnerabilidad

1. Escriba a support@wcx.digital con el asunto «Security report» o «Reporte de seguridad». Incluya la dirección o la función afectada, los pasos para reproducir el problema, el impacto y cómo contactarlo.
2. Por favor, no acceda, modifique ni elimine datos que no sean suyos. Haga pruebas solo con su propia cuenta o tienda. No realice ataques de denegación de servicio, spam, ingeniería social ni ataques físicos. Denos un plazo razonable para corregir el problema antes de divulgarlo.
3. Confirmamos la recepción de los reportes dentro de 2 días hábiles, lo mantenemos informado y le damos crédito si lo desea. No tenemos un programa de recompensas pagas. No iniciaremos acciones legales contra investigaciones de buena fe que sigan estas pautas.

¿Dudas sobre esta página? Escriba a support@wcx.digital.