Seguridad desde el día uno. No "atornillada después".
La infraestructura de voz transporta algunos de los datos más sensibles — conversaciones de cliente, grabaciones, OTPs. La tratamos así desde el primer día, no después del primer incidente.
Estado: todos los sistemas normales
Cifrado en todas partes
✓
Señalización SIP
TLS 1.2+ sobre WSS obligatorio. SIP UDP/TCP en claro se rechaza en el registrar.
✓
Media (voz y vídeo)
SRTP con intercambio de claves vía DTLS-SRTP. AES-128/256-GCM. Sin fallback a RTP en claro.
✓
Conferencias
WebRTC E2E DTLS — cada participante tiene una clave SRTP única generada por sesión.
✓
Almacenamiento en reposo
Grabaciones, buzón de voz y transcripciones IA cifradas en disco (LUKS en el volumen + claves por tenant a nivel de aplicación).
✓
Base de datos
TLS hacia Postgres/MySQL. Aislamiento de filas por tenant — forzado a nivel de API.
Identidad y acceso
✓
JWT por dispositivo
Cada navegador/iOS/Android recibe su propio UUID RFC 4122 y JWT. Sin credenciales compartidas, sin replay entre dispositivos.
✓
Argon2id para contraseñas
Hash moderno memory-hard. Resistente a fuerza bruta por diseño; factor ajustable.
✓
Verificación de email
Obligatoria al registro. La cuenta queda inactiva hasta confirmar la dirección.
✓
Modelo de roles
SuperAdmin / TenantAdmin / Manager / Operator / Viewer. Permisos granulares read/write/delete por menú.
✓
Audit log
Cada acción de admin y cambio de estado de tenant queda registrado con autor, IP, user-agent y marca de tiempo.
Red e infraestructura
✓
HTTPS en todo
HSTS preload, HTTP/2, solo suites TLS modernas (1.3 + 1.2 PFS). Auto-renovación con Let’s Encrypt.
✓
CSP estricta
Content-Security-Policy ata scripts y form-actions a orígenes conocidos. Frame-ancestors bloquea clickjacking.
✓
Fail2ban + rate-limit
Brute-force de SIP REGISTER, login-bursts y spam de verificación de email se cortan en el edge.
✓
Protección DDoS
Cloudflare proxy delante de los sitios públicos; tráfico SIP/RTP por SBC carrier-grade.
✓
Aislamiento de tenants
Configs PBX, grabaciones, contactos y conferencias scoped por client_id en BD Y API. Defense-in-depth.
Higiene operacional
✓
Monitorización 24/7
SIP REGISTER + INVITE sintéticos cada 30s. Integridad de grabaciones, mailer-probes, salud de salas de conferencia.
✓
Parches semanales
Rolling Rocky Linux 9 con auto-aplicación de security-advisories. Asterisk + sip.js — actualización en cada CVE.
✓
Hardware cifrado
LUKS en cada volumen de datos. Disco robado = disco inútil.
✓
Backups cifrados
Off-site, cifrados con clave fuera de la red de producción. Pruebas de restauración mensuales.
✓
Privacy by default
Fuentes self-hosted (sin Google CDN), sin trackers de terceros, sin analítica hasta opt-in explícito.
Compliance
✓
RGPD
Opción de EU data residency. API por tenant para exportar y borrar. Lista de subprocesadores publicada.
✓
STIR/SHAKEN
Atestación de caller-ID para tráfico saliente US.
✓
DNC compliance
Listas DNC por tenant + sync global TPS/FCC (US). Pre-call scrubbing para outbound.
✓
Consentimiento de grabación
Anuncio por llamada / política por tenant. Grabaciones marcadas con flags de consentimiento.
¿Has encontrado una vulnerabilidad?
Pagamos divulgación responsable. Escribe a security@pyfone.com con PoC — respuesta en 24 h.
Política de divulgación