Resumen de Seguridad

SAIS separa el acceso interno administrativo del acceso del portal del cliente. Los datos del portal se limitan por sesion del cliente y filtrado server-side por `client_id`.

Los clientes solo deben ver su propia cuenta, plan, campanas, leads, mensajes, billing, soporte y registros de automatizacion.

Usuarios internos deben usar acceso de privilegio minimo. Contrasenas compartidas, service keys expuestas al navegador y secretos de proveedores visibles al cliente no son aceptables en produccion.

Tokens de proveedores deben guardarse server-side y cifrados. Los tokens no deben aparecer en la UI del navegador, logs, `client_connections.detail` o reportes exportados.

Endpoints de webhook requieren firmas de proveedor o secretos compartidos cuando el proveedor lo permita.

SAIS mantiene eventos de auditoria para actividad importante de proveedores, billing, conexiones, webhooks, campanas, leads y automatizaciones.

Incidentes de seguridad deben reportarse a privacy@sais.com con una descripcion clara y datos de contacto.

Antes del primer cliente real, SAIS debe verificar variables de ambiente, readiness de schema, escrituras protegidas, aislamiento del portal, secretos de webhooks y almacenamiento de claves de proveedores.