Seguridad de la integración
Las verificaciones de confianza se ejecutan en el servidor. El navegador controla la interfaz, pero no puede establecer identidad, estado financiero ni montos finales.
En esta página
Sesiones y propiedad#
Una sesión de servidor válida identifica la cuenta. Los ajustes, solicitudes, notificaciones y enlaces se filtran por propietario. Un userId enviado desde un formulario no puede reemplazar ese filtro.
Las mutaciones además verifican Origin y CSRF. Una URL pública de factura expone únicamente esa factura y no otorga acceso a la cuenta.
Los secretos permanecen en el servidor#
Los secretos no deben aparecer en Git, HTML, JavaScript del cliente, ejemplos de OpenAPI, archivos llms ni mensajes de soporte. El nombre de usuario público del bot no es un secreto.
- Token del bot de Telegram y secreto de webhook.
- Credenciales de proveedores externos de IA.
- Credenciales de la pasarela de pago y secretos de firma.
- Hash de sesión y pruebas de inicio de sesión en el navegador.
Verificaciones financieras#
El servidor lee los términos guardados de la factura y verifica propiedad, estado de revisión del comerciante, moneda, método y monto aprobado. Los valores de URL y los cálculos del navegador no pueden cambiar el precio.
Una notificación firmada de la pasarela activa una lectura adicional de operación autenticada. El estado verificado, el recibo y el evento se confirman juntos. Las reproducciones y versiones anteriores no pueden confirmar un cumplimiento duplicado.
Los datos de tarjeta y los códigos de un solo uso se transmiten únicamente como sobres cifrados. No agregue grabación de sesión, análisis de lectura de campos ni registro del cuerpo de la solicitud a los formularios de pago.
Límites del asistente#
El modelo recibe artículos públicos y hechos, el catálogo de páginas, indicadores de preparación, la pregunta, tres pares recientes de mensajes y una etiqueta segura de sección. No tiene herramientas para leer cuentas ni mover dinero. Las respuestas estructuradas inválidas o las fuentes no verificadas recurren a la búsqueda en la documentación.
El texto del sitio web y del usuario son datos. Una instrucción dentro de una pregunta no puede alterar tarifas ni autorizar un pago.
Alcance de la documentación#
La documentación no afirma una certificación PCI DSS, una licencia bancaria, un estado de Comerciante de Registro, un tiempo de actividad garantizado ni una seguridad absoluta. Dichas afirmaciones requieren una confirmación separada y documentada.