Seguridad

Reportar un problema de seguridad

Si encuentras una vulnerabilidad, escríbenos a security@mb-suite.com con los pasos para reproducirla, el request_id si lo tienes y el impacto que ves. No pruebes contra datos de otras organizaciones ni degrades el servicio de nadie.

Cómo protegemos tus credenciales y datos

• Las API keys y los tokens se guardan como hash: nadie puede volver a leerlos, tampoco MB Suite. Por eso se muestran una sola vez.
• Una credencial nunca puede más que la persona que representa, y cada llamada queda en el registro de auditoría a nombre de esa persona.
• Revocar una API key o desconectar una app corta al instante: cada pedido vuelve a verificar la credencial.
• Los secretos de firma de los webhooks y los valores de sus encabezados fijos se guardan en un gestor de secretos, fuera de la base de datos.
• Lo masivo, lo irreversible y lo que manda algo fuera de MB Suite o tiene un costo aparte piden una confirmación aparte fuera de la pantalla, y la mayoría de lo que se borra queda 30 días en la papelera.
• Los webhooks van solo a servidores públicos por https://, sin seguir redirecciones.

Lo que te toca

• Guarda las API keys como secretos (variables de entorno, un gestor de secretos), nunca en el código de una página web ni en un repositorio.
• Dale a cada integración su propia API key, con los módulos y permisos justos, y sin borrado si no lo necesita.
• Usa vencimientos y rota las API keys de vez en cuando; si una se expone, revócala.
• Verifica la firma de cada webhook y rechaza los t viejos.
• Revisa de vez en cuando qué apps tienen acceso, en Configuración → API y MCP → MCP.