Confianza en Squish

Squish es una plataforma multiservicio. El sitio para clientes (squish.co) y el CRM interno (work.squish.co) se ejecutan en Cloudflare Workers / Pages. Cinco backends de Node.js — squish-backend, squish-crm-backend, squish-provisioning, squish-email y squish-hosting — se ejecutan en Railway en la región US-East. Los registros de clientes viven en Salesforce; el estado transaccional, los registros de auditoría y los metadatos de aprovisionamiento viven en Google Firestore (región de EE. UU.). Los datos de pago los custodia Stripe — Squish queda fuera del alcance PCI por diseño.

El registro de dominios se gestiona a través de NameSilo. El hosting web compartido se ejecuta en nodos Plesk alojados en droplets de DigitalOcean; los VPS de Managed Cloud usan CyberPanel por defecto en su propio droplet. Los sitios alojados están protegidos por el CDN y el WAF de Bunny. Las licencias de Microsoft 365 se gestionan a través de Pax8 (CSP).

• En tránsito: TLS 1.3 (mínimo TLS 1.2) de extremo a extremo vía Cloudflare. HSTS aplicado en todos los dominios de cara al cliente.
• En reposo: cifrado por defecto de Firestore (AES-256), cifrado de plataforma de Salesforce; Stripe gestiona todos los datos de tarjetas con controles PCI DSS Nivel 1.
• Secretos: todas las claves de API, credenciales de cuentas de servicio y cadenas de conexión a bases de datos viven en variables de entorno de Railway y en secret bindings de Cloudflare — nunca se suben al código fuente.
• Copias de seguridad: recuperación point-in-time de Firestore (ventana de 7 días). Los registros de clientes de Salesforce viven en la plataforma Salesforce con su replicación y recuperación ante desastres integradas.

• Autenticación de clientes: Firebase Auth (email + contraseña, más proveedores OAuth opcionales). JWT de corta duración (TTL de 1 hora).
• Autenticación del personal: Cloudflare Access delante de todas las superficies internas. SSO + MFA obligatorios. Tokens de sesión limitados por aplicación.
• Servicio a servicio: clave de API interna compartida + controles de rol por ruta (admin / soporte / ventas).
• Suplantación: cada sesión del personal en modo "actuar como cliente" se registra con el motivo, todas las acciones y las marcas de tiempo de inicio y fin. Las acciones destructivas (cambios de método de pago, transferencias de registrador) se bloquean durante la suplantación mediante una lista de denegación explícita.

Cada acción privilegiada queda registrada en una de estas colecciones de Firestore de solo escritura incremental:

• security_events — fallos de autenticación, denegaciones de RBAC, intentos de IDOR, activaciones de límite de tasa
• impersonation_sessions — sesiones de personal-como-cliente con subcolección por acción
• billing_actions — emisión de reembolsos, motivos de límites por rol, cadenas de segundo aprobador
• email_log — cada email saliente con tipo, motivo de supresión y estado de envío
• webhook_events — leases de idempotencia de webhooks de Stripe / NameSilo / Pax8
• cron_runs — latido de cada tarea programada (para que las ejecuciones ausentes sean visibles)

Los controles de seguridad no solo se describen en esta página — los críticos se verifican en el código para que el próximo despliegue no pueda debilitarlos silenciosamente.

• Gate de CI sobre las cabeceras de seguridad de respuesta: cada PR ejecuta un smoke test de vitest que hace fallar el build si las cabeceras Content-Security-Policy, Cross-Origin-Resource-Policy, anti-clickjacking o referrer-policy se desvían de sus valores previstos.
• Sonda de permisos de terceros al arranque: al iniciarse, el backend verifica que la clave de API de Stripe configurada tenga todos los alcances de los que dependen el panel y los flujos de checkout; un alcance ausente se registra de forma visible en el arranque en lugar de aparecer como un fallo silencioso de cara al cliente.
• Los helpers de SOQL tipados rechazan identificadores malformados en el punto de llamada en lugar de convertirlos silenciosamente en un valor que ampliaría la consulta — defensa contra inyección SOQL del lado de la integración.
• Manifiesto de preparación de variables de entorno: cada servicio declara todas las variables que consume, marcadas como obligatorias u opcionales, y un endpoint interno informa de cuáles faltan en la instancia en ejecución — así un secreto ausente aparece en una comprobación deliberada tras el despliegue y no en la primera petición de cliente que lo necesitaba.

Los datos operativos se conservan durante ventanas cortas y justificables; los registros financieros se conservan los 7 años que exige la legislación fiscal de EE. UU. Las solicitudes de eliminación de clientes se atienden en un plazo de 30 días para los datos no financieros.

Proveedores que procesan datos de clientes en nuestro nombre. Cada uno opera bajo su propio programa de cumplimiento — los enlaces llevan a sus páginas públicas de confianza.

• Contacto de seguridad: security@squish.co — el personal recibe alertas en tiempo real.
• Política de divulgación responsable: /.well-known/security.txt
• SLA de respuesta inicial: en un plazo de un día laborable.
• Notificación a clientes: dentro de las 72 horas tras confirmarse una brecha que afecte datos de clientes, conforme al Artículo 33 del RGPD.
• Estado del sistema en vivo: squish.co/status

Hoy: Squish opera un programa de seguridad autocertificado respaldado por los controles descritos arriba. La mayor parte del conjunto de controles de SOC 2 Type 1 (control de acceso, cifrado, registro de auditoría, gestión de proveedores, gestión de cambios) ya está implementada; la auditoría formal está en la hoja de ruta.

SOC 2 Type 1: en curso. Atestación prevista para finales de este año.

SOC 2 Type 2: el período de observación comienza tras obtener la atestación Type 1.

Para equipos de compras: con gusto completaremos un cuestionario de seguridad (CAIQ-Lite, SIG-Lite o su propio formato). Escríbanos a security@squish.co.

Acuerdo de Procesamiento de Datos (DPA): nuestro DPA estándar, alineado con el Artículo 28 del RGPD e incluyendo las Cláusulas Contractuales Tipo de la UE, está publicado en squish.co/dpa y se incorpora automáticamente a nuestros Términos de Servicio.