Seguridad

Última actualización: 2 de noviembre de 2026 · Versión 3.1

Tu trabajo es tuyo. En XPE Agent la privacidad no es una promesa de marketing: es arquitectura. Cifrado en reposo y en tránsito, doble factor en el control total, cero ejecución de comandos del servidor desde el chat y registro de cada acceso administrativo.

Los módulos de protección que están activos

01 · Cifrado de secretos

AES-256-GCM para claves, tokens y secretos guardados. Cada valor se cifra con su propio vector y se verifica al leerse: si alguien lo altera, se invalida.

02 · Doble factor obligatorio

TOTP de 6 dígitos para el control total. La sesión vive 12 horas y se firma en el servidor; sin ese código no hay acceso a funciones de administración.

03 · Identidad gestionada

Las contraseñas nunca pasan por nuestros servidores: las maneja Firebase con hash y verificación de dominio real en el registro.

04 · Hora oficial verificada

La contraseña de un solo uso y los créditos usan la hora del servidor, no la del equipo del usuario, para evitar manipulación.

05 · Protección por IP real

Límites por IP firmada con HMAC, no por la cabecera que el visitante pueda inventar. Un abuso repetido se bloquea sin afectar a los demás.

06 · Anti-bot antes del chat

Verificación de humanidad y correo verificado antes de usar el agente. Los bots no consumen créditos ni recursos.

07 · Cero comandos desde el chat

Las herramientas del chat no pueden ejecutar comandos ni leer archivos del servidor. El acceso local solo existe en la app de escritorio, en tu equipo.

08 · Cabeceras blindadas

CSP estricta, HSTS, X-Frame-Options, nosniff y Permissions-Policy activos en toda la web.

09 · Aislamiento de ejecución

El código que se ejecuta corre en un sandbox aislado y sin privilegios, separado de la base de datos y de los secretos.

10 · Copias y continuidad

Copias cifradas en almacenamiento separado y réplica del código en dos repositorios. Si algo falla, se restaura sin perder tu historial.

11 · Auditoría de accesos

Cada acción administrativa queda registrada con fecha, IP y resultado. Si algo raro pasa, sabemos exactamente qué fue.

12 · Parches continuos

Revisión de dependencias y actualización de vulnerabilidades de forma permanente. Las versiones con fallo conocido no se publican.

Qué puedes exigirnos

Situación	Compromiso
Cambio de contraseña	Enlace de un solo uso, caduca en 1 hora y se invalida al usarse
Acceso a tu cuenta	Correo verificado y doble factor en las funciones de control
Borrado de cuenta	Datos personales eliminados en un máximo de 30 días
Incidente de seguridad	Aviso por correo si afecta tus datos, con lo ocurrido y lo corregido
Reporte de vulnerabilidad	Respuesta en 48 horas y seguimiento hasta el cierre

Tu privacidad, en concreto

Tus secretos viven en la Bóveda con cifrado propio, no en el texto del chat.
Tus conversaciones son tuyas: no se usan para publicidad ni se venden.
Los datos de tarjeta los procesa el proveedor de pago; nunca los almacenamos.
Cada usuario solo puede leer lo suyo por reglas de acceso a nivel de base de datos.

Reporte responsable

Si encuentras una vulnerabilidad, escríbenos a xpepaneles@gmail.com con el detalle y los pasos para reproducirla. Revisamos con prioridad y agradecemos el reporte.