La seguridad también debe explicarse.

Controles implementados

• Acceso privado con contraseña protegida y código de aplicación autenticadora; sesiones y permisos comprobados por el servidor. No se guardan contraseñas en los archivos públicos del proyecto.
• Autorización en el servidor: la empresa de prueba personal se obtiene de la identidad, no de un identificador enviado por el navegador.
• Validación de importes CLP enteros, límites por operación, saldo suficiente y bloqueo de la billetera.
• Cargos, abonos e historial dentro de una operación atómica. Una misma clave de operación no puede aplicarse dos veces ni cambiar su contenido.
• Comprobación del origen y token anti-CSRF en las escrituras; límite de solicitudes por usuario y tamaño del cuerpo.
• Exportación de movimientos, auditoría interna y conciliación de saldos contra el registro.
• La app instalable no guarda ni ejecuta movimientos sin conexión. Las páginas de cuenta y las respuestas API no se almacenan en la caché de la app.

Lo que estos controles no significan

No equivalen a certificación CMF, PCI DSS, ISO 27001, auditoría independiente, MFA financiero, verificación KYC ni garantía de ausencia de vulnerabilidades. No hay datos de tarjetas, conexión con bancos ni credenciales de pago en esta demostración.

Antes de dinero real

Debemos contratar y validar un banco o emisor autorizado; definir responsabilidades, custodia y conciliación; incorporar identificación, autenticación reforzada, prevención de fraude y lavado; establecer continuidad, reclamos y respuesta a incidentes; y completar una revisión legal y de seguridad independiente.

Informar un problema

Escribe a [email protected] con el paso que falló y una referencia de prueba. No incluyas contraseñas, códigos, tarjetas ni datos bancarios. Las pruebas de seguridad deben limitarse a tu propio espacio y evitar acceso a datos de otras personas.