Seguridad & privacidad en Vitrily.

Vitrily es editado por AGENSIO AI, cuya stack pasó una auditoría de seguridad CASA Tier 2 en abril de 2026, realizada por TAC Security, con una puntuación de 9,1/10. CASA (Cloud Application Security Assessment) es el marco que Google exige a las aplicaciones que manejan datos sensibles de usuarios, y el nivel Tier 2 corresponde a las plataformas SaaS ya consolidadas.

La auditoría cubrió el ciclo de desarrollo seguro, la cobertura del OWASP Top 10, pruebas de intrusión, revisión de código, análisis de dependencias, gestión de incidentes y clasificación de datos. Cada despliegue de Vitrily hereda la misma postura: la misma Content Security Policy, la misma cadena OAuth, la misma monitorización con Sentry, el mismo proceso de revisión antes de subir a producción.

• Auditoría TAC Security · abril de 2026, puntuación 9,1/10, marco CASA Tier 2.
• Cobertura OWASP Top 10 · SQLi, XSS, CSRF, SSRF, IDOR, SSPP revisados y mitigados.
• Análisis continuo de dependencias · npm audit + avisos de seguridad de Vercel en cada despliegue.

Cada byte de datos de clientes (cuentas, sitios, reservas, medios, analítica) vive en Supabase Postgres, en Fráncfort, Alemania. La propia aplicación Vitrily corre en el edge europeo de Vercel, y el correo se envía a través de la región UE de Resend. No hay respaldo en región EE. UU., ni cacheo CDN de datos personales fuera de la UE, ni herramientas de analítica de terceros que manden datos de comportamiento al otro lado del Atlántico.

Vitrily termina TLS 1.3 en cada conexión, con HSTS activado en todo el sitio. Las contraseñas se hashean con Argon2id (memory-hard, resistente a fuerza bruta con GPU). Las cookies de sesión van firmadas con HMAC y un secreto de servidor rotatorio. Los secretos de base de datos, tokens OAuth y claves Stripe se guardan como variables de entorno cifradas en Vercel, nunca en el código, y se rotan según calendario.

• TLS 1.3 · en cada petición, HSTS de 1 año, apto para preload.
• Hasheo Argon2id de contraseñas · memory-hard, resistente a fuerza bruta con GPU.
• Cookies de sesión firmadas con HMAC · HttpOnly, Secure, SameSite=Lax por defecto.
• Rotación de secretos · variables de entorno cifradas de Vercel, rotadas ante sospecha.

Cada capa está reforzada, para que un solo error nunca se convierta en una brecha. Estos controles vienen con cada cuenta de Vitrily, sin configuración.

• Content Security Policy estricta · sin scripts inline en páginas de usuario, solo CDN en lista blanca.
• Protección CSRF · cada petición que cambia el estado se firma con un token por sesión.
• Rate limiting distribuido · login, registro y endpoints API limitados por IP y por usuario.
• Hasheo de IP para analítica · sin IP en bruto, solo hashes truncados unidireccionales, sin cookies.
• Monitorización con Sentry · cada incidente rastreado, alertado y revisado en menos de 24 h.
• Subidas escaneadas · cada imagen o archivo pasa una comprobación de firma antes de llegar a tu web.