WITHMIA v1.2.0 — Seguridad de nivel empresarial para tus conversaciones

Cuando una empresa confía en WITHMIA para conversar con sus clientes, nos confía algo muy valioso: sus datos y los de su gente. La v1.2.0 es nuestra release más importante en ese frente. Hicimos una auditoría de seguridad integral de toda la plataforma y reforzamos cada capa, de la base de datos al navegador.

No es una sola feature. Es una inversión transversal en confianza.

Una auditoría seria, no una checklist

Revisamos la plataforma completa contra las superficies de ataque que importan en un SaaS multi-tenant: control de acceso entre empresas, autenticación, inyección, XSS, SSRF, webhooks, secretos, cabeceras, límites de uso, dependencias e infraestructura.

Cada hallazgo pasó por una verificación adversarial: antes de dar algo por cierto, intentamos refutarlo, para no perder tiempo en falsos positivos y arreglar solo lo que de verdad importa. Lo confirmado, lo corregimos. Lo crítico, lo corregimos primero.

Lo que reforzamos

🔐 Cifrado de credenciales en reposo. Las credenciales sensibles de integraciones quedan cifradas en la base de datos, no en texto plano. Si algo se filtrara, no sirve sin la llave.

💳 Pagos blindados. Restauramos la verificación de certificados TLS en toda la ruta de pagos y volvimos los webhooks de cobro a prueba de falsificación: cada notificación de pago se valida contra la fuente autoritativa antes de activar cualquier suscripción. Nadie activa un plan que no pagó.

🛡️ Defensas contra ataques web. Protección reforzada contra SSRF (peticiones forzadas al servidor), XSS almacenado (rechazo de subidas peligrosas como SVG), y clickjacking. Sumamos cabeceras de seguridad modernas (X-Frame-Options, Referrer-Policy, HSTS) en cada respuesta.

🔑 Rotación completa de secretos. Rotamos las claves y contraseñas internas de la plataforma y verificamos servicio por servicio que todo siguiera funcionando, sin interrupción para tu operación.

🚦 Límites y trazabilidad. Ajustamos los límites de uso en endpoints sensibles para frenar abuso automatizado, y empezamos a registrar metadatos de acceso para detectar patrones sospechosos a tiempo.

🧹 Higiene de privacidad. Dejamos de registrar datos personales (mensajes, teléfonos) en los logs y eliminamos cualquier eco de información sensible en las respuestas de error.

Solo personas reales

Una plataforma segura también significa que del otro lado haya personas, no bots. En esta release sumamos dos defensas en el registro:

🤖 Captcha anti-bot invisible. Integramos un captcha moderno (Cloudflare Turnstile) en el inicio de sesión. Frena el registro automatizado de bots sin molestar a las personas reales — la mayoría ni lo nota.

📞 Números de teléfono reales, por país. Ahora validamos cada teléfono contra el plan de numeración real de su país (con la librería de Google, libphonenumber). Un número inventado con el largo correcto ya no pasa: si no existe, se rechaza. Datos más limpios para ti y una barrera más contra registros falsos — en Chile, Argentina, Perú o donde sea que estén tus clientes.

Transparencia y seguridad a la vez

La seguridad no se trata de esconder cómo funciona la plataforma, sino de que cada capa resista por sí sola. En esta release endurecimos la configuración de toda la infraestructura: servicios internos que no se exponen a la red y autenticación obligatoria en cada componente.

Lo que viene

La seguridad no es un destino, es un hábito. Ya estamos trabajando en la siguiente capa: un rediseño del manejo de sesiones (tokens cifrados y con expiración), actualización continua de dependencias y políticas de contenido aún más estrictas en el navegador. Lo iremos liberando en las próximas versiones.

Si tienes una empresa y la seguridad de tus datos es una prioridad —como debería serlo—, la v1.2.0 es una buena razón para probar WITHMIA con tranquilidad.

¿Preguntas sobre cómo protegemos tus datos? Escríbenos. Con gusto te contamos en detalle.