Cifrado, RBAC, audit log y SIP hardening

Cifrado en reposo

• Passwords SIP de extensiones — AES-256-GCM con clave maestra rotable.
• Secrets de proveedores (Deepgram, ElevenLabs, OpenAI, Salesforce) — cifrados por tenant.
• Grabaciones — KMS-encrypted en S3/MinIO/GCS/Azure (server-side encryption obligatoria).
• Conexiones BD con TLS 1.3 y certificados rotados automáticamente.

Cifrado en tránsito

• SIP TLS (puerto 5061) y SRTP obligatorio para registros de extensiones.
• WebRTC con DTLS-SRTP (nunca SDES) y WSS sobre TLS 1.3.
• API y dashboard solo HTTPS, HSTS con preload, CSP estricta.
• Webhooks salientes firmados con HMAC SHA-256.

RBAC — Roles y permisos

5 roles base con permisos granulares: superadmin (cross-tenant, auditado), admin (gestión completa del tenant), supervisor (wallboard + acciones live), agent (su softphone) y viewer (read-only). Cada endpoint REST y cada acción de dashboard verifica el rol explícitamente.

Audit log

Tabla audit_logs particionada por mes con retención configurable (30 días Starter, 1 año Pro, 7 años Enterprise). Registra:

• Quién hizo qué, en qué tenant, desde qué IP, en qué momento.
• Diff antes/después para cambios sensibles (políticas de grabación, IVR, agentes).
• Acciones cross-tenant del superadmin con flag específico.
• Export a S3 + búsqueda en backoffice con filtros.

Rate limiting

Cada endpoint tiene su rate limit por tenant + por usuario. Login con 5 intentos/15 min antes de bloqueo temporal. Auth tokens en blacklist tras logout (Redis con TTL = vida del JWT) — no se pueden reusar aunque el atacante los robe.

SIP hardening

• ACL dinámica — solo IPs de trunks configurados aceptan INVITE/REGISTER. Bots SIP descartados a nivel de FreeSWITCH antes de tocar la BD.
• Sin extensiones públicas por defecto — registros solo aceptados desde dominios SIP del tenant.
• Bloqueo automático de fuentes que generan más de N fallos/min.

Compliance

• GDPR-ready — DPA firmable, RoPA documentado, data residency EU/US (Enterprise puede elegir región).
• Procesado en territorio UE (Hetzner Frankfurt) para clientes europeos por defecto.
• Borrado de derecho al olvido por usuario o por tenant.
• Exports de datos por usuario en formato JSON estándar.

Roadmap de certificaciones

ISO 27001 prevista para 2027 Q1. SOC 2 Type II para clientes USA. PCI-DSS bajo demanda Enterprise para integraciones con pago telefónico (IVR + PCI tokenization).