Question 1

¿Dónde se almacenan las claves de cifrado?

Accepted Answer

Las DEK por usuario se almacenan cifradas por una KEK en un KMS dedicado (actualmente respaldado por un servicio con hardware aislado). El KMS es el único componente que tiene KEKs en memoria; los servidores de aplicaciones nunca las ven. La rotación de claves ocurre automáticamente en un calendario rotativo sin tiempo de inactividad.

Question 2

¿Cómo se conecta AI Emaily a Gmail o Google Workspace?

Accepted Answer

Gmail y Google Workspace se conectan a través de IMAP + SMTP estándar usando una contraseña de aplicación que generas en tu cuenta de Google, no Google OAuth. Esa contraseña solo otorga acceso al buzón (leer, enviar, gestión de carpetas), nunca a contactos, Drive ni datos de administrador, y puedes revocarla en cualquier momento desde la configuración de seguridad de Google. Está cifrada con envolvente en reposo, igual que cualquier otra credencial.

Question 3

¿Cómo se almacenan mis tokens OAuth y contraseñas?

Accepted Answer

Cada credencial — tokens OAuth, contraseñas IMAP/SMTP, claves BYOK — está cifrada con envolvente. Cada valor se envuelve con una DEK por usuario, que a su vez está cifrada por una KEK alojada en un KMS dedicado. La DEK nunca se almacena junto al texto cifrado que protege, y las credenciales en texto plano nunca llegan a registros de la aplicación, reportes de errores ni canalizaciones de análisis. Solo se descifran dentro de un worker aislado en el momento de uso.

Question 4

¿Mi correo electrónico está cifrado en tránsito y en reposo?

Accepted Answer

Sí en ambos. El tráfico entre tu dispositivo y nuestros servidores usa TLS 1.2 o superior con conjuntos de cifrado modernos; los retrocesos a TLS más antiguo se rechazan en el balanceador de carga. En reposo, los cuerpos de mensajes, metadatos y resúmenes están cifrados con AES-256 en la capa de almacenamiento, y los blobs de cuerpos de mensajes llevan una clave adicional por objeto gestionada por KMS, de modo que solo una capa de almacenamiento comprometida no puede producir texto plano sin vulnerar también el KMS.

Question 5

¿Qué es el cifrado con envolvente y por qué usarlo?

Accepted Answer

El cifrado con envolvente significa que un secreto se cifra con una clave (la DEK), y esa clave a su vez se cifra con otra (la KEK) alojada en un KMS. La ventaja: el secreto cifrado y la clave que lo desbloquea nunca se almacenan juntos, y puedes rotar la KEK sin volver a cifrar cada registro. Limita el radio de impacto — robar la base de datos no revela credenciales, porque la KEK vive solo en el KMS.

Question 6

¿Cómo evita AI Emaily que un usuario lea los datos de otro?

Accepted Answer

A través de la autorización a nivel de objeto. Cada fila de la base de datos, blob de almacenamiento y invocación de función lleva un ID de propietario, y las solicitudes sin un JWT verificado coincidente se rechazan en la capa de datos, no solo en la capa de API. Por lo tanto, incluso un error en el enrutamiento de la API no puede filtrar los datos de una cuenta a otra, porque la propia consulta de la base de datos filtra por el ID de usuario autenticado y la política de almacenamiento rechaza las lecturas de blobs entre usuarios.

Question 7

¿Con qué frecuencia se rotan las claves de cifrado?

Accepted Answer

La rotación de claves se ejecuta automáticamente en un calendario rotativo sin tiempo de inactividad. Las KEK se rotan dentro del KMS, y las DEK por usuario se pueden re-envolver sin volver a cifrar el texto cifrado subyacente, por lo que la rotación es económica y continua en lugar de una migración masiva arriesgada. Los servidores de aplicaciones nunca tienen KEKs en memoria — solo el KMS lo hace — lo que mantiene pequeña y contenida la superficie de rotación.

Question 8

¿Cómo evitan los envíos duplicados en una conexión inestable?

Accepted Answer

Cada llamada a la API que realiza mutaciones — enviar, archivar, etiquetar, delegar — acepta una clave de idempotencia. Si una conexión se interrumpe después de que el servidor ha aceptado la solicitud, reintentar con la misma clave es una no-operación en lugar de una segunda acción. Esto importa más para enviar: una respuesta perdida no puede convertirse en un correo duplicado, porque el servidor reconoce la clave repetida y devuelve el resultado original en lugar de actuar de nuevo.

Question 9

¿AI Emaily almacena los datos de mi tarjeta de crédito?

Accepted Answer

No. Los datos de tarjetas nunca tocan los servidores de AI Emaily. La facturación se realiza a través del checkout alojado y los Elements de Stripe, que manejan la tarjeta directamente bajo su infraestructura compatible con PCI. Solo almacenamos el ID de cliente de Stripe y el estado de tu suscripción — suficiente para gestionar tu plan, y nada que pueda exponer tus datos de pago si nuestros sistemas fueran comprometidos.

Question 10

¿Cómo se mantienen seguros los webhooks entrantes?

Accepted Answer

Los webhooks de Stripe, las notificaciones push de Gmail y Microsoft Graph se validan con firmas HMAC antes de que se procese cualquier carga; las solicitudes reproducidas o manipuladas se descartan silenciosamente y se registran. La aplicación web también incluye una Política de Seguridad de Contenido estricta que bloquea scripts en línea, restringe los destinos de fetch a nuestros propios dominios y hosts de API conocidos, y no permite el enmarcado de terceros, con CORS por ruta limitado a orígenes de producción y staging.

Cifrado y manejo de claves

Cifrado en tránsito y en reposo

Privilegio mínimo en todas partes

Webhooks, CORS y CSP

Idempotencia y reintentos seguros

Frequently asked