Evidencia de implementación de seguridad
Describe la estructura de implementación, los controles de acceso, los registros de auditoría y los límites de servicio del despliegue actual.
Este resumen describe la evidencia de implementación. No afirma una auditoría de seguridad independiente ni que todos los controles hayan superado pruebas adversarias reales.
Despliegue actual
El portal y el sitio de marketing se ejecutan en Vercel. La base de datos y la autenticación del portal usan Supabase. Titan AI™ se ejecuta como titan-app en Google Cloud Run con una base de datos Neon Postgres. Los trabajos de la canalización de Theta AI™ se ejecutan en GitHub Actions. El correo transaccional usa Resend.
Los servicios públicos actuales usan HTTPS a través de Vercel, Google Cloud Run y las API de Supabase.
Las cuentas con TOTP registrado tienen un nivel de garantía de autenticación más alto. El middleware comprueba el AAL en las solicitudes protegidas del portal y redirige al desafío MFA las sesiones sin verificación adicional.
Los controles de inicio de sesión usan una clave combinada de IP y correo (8 intentos por 5 minutos) y mensajes de error genéricos que no revelan si la cuenta existe. Si la comprobación del límite produce un error, el acceso se deniega.
Las acciones de servidor usan una jerarquía de permisos común y comprobaciones separadas para los flujos sensibles. Esto incluye la conexión del titular, el verificador de empresa y el acceso de administrador de plataforma. Los enlaces de candidatos usan un flujo de token dedicado, y la consola de superadministrador está fuera del grupo de rutas de cliente.
Los enlaces de invitación de candidatos usan un flujo de resolución de token dedicado. La consola de superadministrador está fuera del grupo de rutas de cliente.
Se usa el Checkout alojado de Stripe y webhooks firmados, por lo que los datos de las tarjetas no pasan por los servidores de AI Psychometrics Inc. Las claves secretas solo se usan en el servidor.
El portal registra eventos de sesión, de candidatos y de administración en audit_logs. La inserción de registros es de mejor esfuerzo, y los movimientos de créditos de facturación se registran en el libro de créditos.
La ruta de carga masiva de CSV de campañas inspecciona internamente cada archivo antes de procesarlo. Comprueba extensión, MIME, tamaño, estructura binaria, codificación y bytes de control.
Los proveedores de servicios nombrados en el repositorio actual son Vercel, Supabase, Google Cloud Run, Resend, Stripe y GitHub Actions. Estos proveedores forman el límite de servicio actual.
Artefactos de evidencia
Borrador de Política de Privacidad y Términos de Servicio (antes de la revisión legal)
Middleware que aplica MFA y flujo /mfa-challenge
Migración de limitación 0004
Interfaz de registro de auditoría y funciones auxiliares de auditoría
Contrato de puntuación canónico v1 · 2026-09-21
JSON de procedencia de calibración · 2026-09-21 · ejecución 35553441453
