Saltar al contenido

Seguridad

Tu certificado de firma electrónica es, en la práctica, la firma de tu empresa ante el Ministerio de Hacienda. Así lo protegemos, junto con tus documentos y los datos de tus clientes.

Credenciales del MH

  • Certificado, clave privada y contraseña de API cifrados con AWS KMS mediante cifrado de sobre: cada secreto tiene su propia clave de datos.
  • Se descifran solo en memoria, en el proceso de firma, y nunca se devuelven por la API ni aparecen en registros.
  • Separados por emisor y por ambiente (pruebas y producción).
  • Al cargarlos verificamos que la clave abra el certificado, que el NIT coincida con el emisor y que el login al MH funcione.

Acceso a la API y al panel

  • API keys distintas por ambiente (sk_test_ y sk_live_), guardadas como hash; solo se muestran una vez al crearlas.
  • Keys limitables a ciertos emisores, revocables al instante y con fecha de último uso visible.
  • Panel con contraseña y segundo factor (TOTP), cookie de sesión httpOnly y protección CSRF.
  • Límites de velocidad por API key y bloqueo ante intentos fallidos repetidos.

Integridad de los documentos

  • Validación contra los esquemas JSON oficiales del MH antes de firmar.
  • El JSON firmado se guarda antes de transmitirlo y nunca se vuelve a firmar un código de generación con otro contenido.
  • Idempotencia obligatoria en cada POST para que un reintento no emita documentos duplicados.
  • Conservación íntegra del JSON, el sello y el PDF durante el plazo del artículo 147 del Código Tributario.

Infraestructura

  • Alojada en Amazon Web Services, con Cloudflare al frente para TLS, DNS y mitigación de ataques.
  • Cifrado en tránsito con TLS 1.2 o superior y cifrado en reposo de bases de datos y archivos.
  • Respaldos diarios cifrados y probados periódicamente.
  • Aislamiento por cuenta en cada consulta y registro de auditoría de accesos administrativos y de soporte.

Divulgación responsable

Si encuentras una vulnerabilidad, escríbenos a seguridad@sudte.com con los pasos para reproducirla. Te responderemos en 2 días hábiles, te mantendremos al tanto de la corrección y no tomaremos acciones legales contra investigaciones de buena fe que no accedan a datos de terceros ni afecten el servicio. También publicamos security.txt.

Privacidad y cumplimiento

Tratamos los datos personales conforme a la Ley para la Protección de Datos Personales de El Salvador; los detalles, los proveedores que intervienen y cómo ejercer tus derechos están en la política de privacidad. El compromiso de disponibilidad está en el SLA y el estado en tiempo real en estado del servicio.