CERTHIX / Seguridad de la aplicación

Protege los registros. Controla quién puede actuar.

Separa los registros de cada organización en la aplicación y la base de datos.
Controla el acceso por pertenencia, permiso y centro.
Conserva el historial de los registros presentados y las decisiones importantes.

Hablar de tus requisitos ↗Ver ejemplos prácticos ↓

Seguridad de la aplicación

Protección del acceso y los registros

Identidad e inicio de sesión

La integración de producción utiliza Microsoft Entra ID y valida el token de identidad antes de aceptar una solicitud autenticada.
El navegador recibe una cookie de sesión cifrada y HttpOnly; los tokens permanecen en el servidor.
Las políticas de Entra de tu organización regulan la autenticación multifactor. Iniciar sesión no concede acceso ilimitado a los registros.

Permisos según el trabajo

Las pertenencias y los permisos guardados determinan qué registros puede consultar una persona y qué acciones puede realizar.
El servidor comprueba el ámbito de la escuela o del centro. Cambiar una selección en el navegador no amplía los derechos.
Consultar, editar, revisar y verificar son permisos distintos cuando el proceso lo requiere. La API vuelve a comprobar cada solicitud.

Separación entre organizaciones

La seguridad por filas de PostgreSQL añade una barrera en la base de datos a los controles de la aplicación.
La cuenta de la aplicación no es propietaria de las tablas ni puede omitir esa barrera. Las migraciones utilizan otro rol.
Una operación sin contexto de organización se rechaza. Las relaciones entre registros también incluyen ese identificador.

Protección de archivos

Una autorización breve permite crear un único objeto mediante HTTPS, sin dar acceso a todo el contenedor.
Subir un archivo y declararlo seguro son estados diferentes. El proceso utiliza resultados de análisis de confianza.
La integración con Azure requiere configurar Defender for Storage y la entrega fiable de sus eventos en el entorno.

Integridad e historial

Las respuestas de una inspección presentada están protegidas frente a ediciones ordinarias; las correcciones siguen un ciclo de revisión.
Las acciones importantes se conservan en un historial de auditoría. Los accesos denegados corresponden a los registros de seguridad.
El control de revisiones impide que una actualización antigua sobrescriba otra reciente. Los relatos de incidentes no se incluyen en los metadatos de auditoría.

Aplicación e infraestructura

El aislamiento, los permisos y las reglas de los registros están implementados. La red, las copias, la supervisión y el análisis de archivos también necesitan configuración y pruebas.
Las protecciones del proveedor cloud no garantizan por sí solas la seguridad del despliegue.
Esta página describe controles técnicos; no acredita certificación ISO, pruebas de intrusión independientes ni garantías de disponibilidad en producción.

Ejemplos de procesos

En el trabajo diario

Una persona responsable cambia de escuela

El servidor comprueba su pertenencia y ámbito autorizado.
Las consultas utilizan el contexto de la organización.
Solo se muestran los registros permitidos.

Dos personas editan un mismo registro

La primera guarda sobre la revisión vigente.
La revisión desactualizada de la segunda se rechaza.
Puede recargar el registro y realizar una actualización informada.