Función de la plataforma
Seguridad de la plataforma: cifrado, CSP y registros de auditoría
Tus cuentas publicitarias, los datos de tu tienda y la facturación pasan por esta plataforma, por eso la seguridad está integrada en cada capa y documentada abiertamente en /trust.
Una plataforma de marketing concentra un poder inusual: acceso a tus cuentas publicitarias, a los pedidos e ingresos de tu tienda, a las conversaciones con tus clientes y a tus flujos de pago. Eso convierte su postura de seguridad en una cuestión de compra de primer orden, no en una nota al pie. BScale AI está construida con defensa en profundidad, y el cuadro completo se publica abiertamente en la página de confianza.
La versión corta: autenticas las plataformas mediante OAuth, de modo que BScale AI nunca guarda tus contraseñas; cada token almacenado se cifra con AES-256-GCM; las sesiones se basan en cookies con protección CSRF; cada página incluye una Content Security Policy por petición; las API tienen límite de peticiones; y la actividad de la cuenta se registra en un registro de auditoría de solo adición que nadie, ni siquiera los administradores, puede editar en silencio.
Credenciales cifradas y protección de los tokens OAuth
BScale AI nunca te pide la contraseña de tus cuentas de Meta, Google, TikTok o LinkedIn. Las conexiones usan el flujo OAuth oficial de cada plataforma: inicias sesión en las propias páginas de la plataforma, concedes permisos acotados y puedes revocarlos en cualquier momento desde cualquiera de las dos partes.
Los tokens de acceso que emiten esas plataformas son las joyas de la corona de cualquier herramienta de marketing, por lo que se cifran con AES-256-GCM antes de almacenarse. Incluso en caso de acceso no autorizado a la base de datos, los tokens no están en texto plano esperando a que alguien los recolecte.
Seguridad de sesión: cookies, CSRF y CSP por petición
Las sesiones de usuario se basan en cookies y están protegidas contra la falsificación de peticiones entre sitios, de modo que un sitio web malicioso que visites sin querer no puede enviar peticiones a BScale AI en tu nombre. Es un ataque clásico contra las herramientas de marketing, donde una petición falsificada podría lanzar gasto o alterar campañas, y se bloquea en el límite de la plataforma.
Cada página también se sirve con una Content Security Policy por petición. En lugar de una política estática única, cada respuesta lleva su propia CSP basada en nonce, lo que limita de forma drástica lo que podrían hacer los scripts inyectados aunque algún día llegara contenido malicioso a una página. Es una de las protecciones del lado del navegador más sólidas que puede desplegar una aplicación web.
Límite de peticiones y registro de auditoría de solo adición
Todas las API tienen límite de peticiones, con presupuestos más estrictos para las operaciones sensibles. El límite de peticiones frena por igual los intentos de fuerza bruta, el abuso de los puntos de acceso de IA y la automatización descontrolada, y mantiene la plataforma estable para todos.
La actividad de la cuenta se escribe en un registro de auditoría de solo adición: se pueden añadir entradas, pero la aplicación no tiene ningún camino para actualizarlas o borrarlas. Cuando necesitas saber quién hizo qué y cuándo (una revisión de cumplimiento, una investigación de incidentes o una simple cuestión de responsabilidad dentro de tu equipo), el registro es un historial que no ha podido reescribirse en silencio.
Una seguridad que se extiende a roles, facturación y aprobaciones
La seguridad no es solo criptografía; también es quién puede hacer qué. El uso compartido del espacio de trabajo usa control de acceso basado en roles aplicado en el servidor en cada petición, de modo que un observador nunca puede actuar con el poder de un gestor. La facturación pasa por PayPal con un libro mayor detallado, así que los movimientos de dinero son inspeccionables. Y nada se publica en tus cuentas publicitarias sin tu aprobación explícita, lo que mantiene a la persona al mando de las acciones que más importan.
La postura de seguridad completa y actual, incluidas las prácticas que adoptamos a medida que evoluciona la plataforma, está documentada en la página pública de confianza. Si tu organización tiene un cuestionario de seguridad, ese es el lugar por donde empezar.
Preguntas frecuentes
- ¿Cómo almacena BScale AI las credenciales de mis cuentas publicitarias?
- No almacena tus contraseñas en absoluto. Las plataformas se conectan mediante sus flujos OAuth oficiales, y los tokens de acceso que emiten se cifran con AES-256-GCM antes de almacenarse. Puedes revocar una conexión en cualquier momento desde BScale AI o desde los ajustes de seguridad de la propia plataforma.
- ¿Qué es un registro de auditoría de solo adición y por qué importa?
- Es un registro de actividad al que la aplicación puede añadir entradas pero que nunca puede actualizar ni borrar. Eso significa que el historial de quién hizo qué en tu cuenta no puede reescribirse en silencio, algo esencial para las investigaciones de incidentes, las revisiones de cumplimiento y la simple responsabilidad dentro de un equipo.
- ¿Cómo evita BScale AI la falsificación de peticiones entre sitios (CSRF)?
- Las sesiones se basan en cookies y cada petición que cambia el estado se protege con comprobaciones CSRF, de modo que un sitio web malicioso de terceros no puede engañar a tu navegador para que envíe peticiones a BScale AI en tu nombre, como alterar campañas o gastar presupuesto.
- ¿Qué es una Content Security Policy por petición?
- En lugar de una única política de seguridad estática del navegador, BScale AI genera una Content Security Policy nueva, basada en nonce, para cada respuesta de página. Esto restringe de forma drástica lo que podría ejecutar cualquier script inyectado y ofrece una protección sólida contra los ataques de cross-site scripting.
- ¿Puede la IA de BScale AI actuar en mis cuentas sin mí?
- No. La IA prepara campañas, creatividades y recomendaciones, pero nada sale en directo en Meta, Google Ads, TikTok ni LinkedIn sin tu aprobación explícita. Junto con el control de acceso basado en roles aplicado en el servidor, las personas siguen al mando de cada acción importante.
- ¿Dónde puedo leer todos los detalles de seguridad de BScale AI?
- La página pública de confianza documenta la postura de seguridad de la plataforma, incluidas las conexiones basadas en OAuth, el cifrado de tokens AES-256-GCM, la protección CSRF, la CSP por petición, el límite de peticiones y el registro de auditoría de solo adición. Es el punto de partida adecuado para cualquier revisión de seguridad.
