Cómo se protegen los registros

Cada tabla tiene seguridad a nivel de fila. No se confía en la aplicación para decidir quién puede ver un registro: lo decide Postgres, en cada consulta, según la parroquia y el rol del usuario que inició sesión. Un error en una página no puede ampliar lo que esa página puede leer.

Nada se puede leer sin iniciar sesión. Lo poco que puede hacer un visitante (buscar en el directorio de parroquias, abrir una invitación, leer el sitio web publicado de una parroquia) pasa por funciones que devuelven solo lo que esa tarea necesita, y la búsqueda del directorio está limitada a veinte resultados.

Las operaciones de escritura en los libros, las notas marginales, las enmiendas y el registro de auditoría se realizan solo mediante funciones definidas en la base de datos. No hay ninguna vía por la que la aplicación, o una persona que use sus credenciales, inserte datos directamente en esas tablas.

Las notas marginales y las enmiendas solo se añaden: no existe para ellas ninguna regla de modificación ni de borrado, así que no hay privilegio que pueda reescribirlas. Enmendar una partida y registrar la enmienda son una sola transacción. Si el rastro no puede escribirse, la modificación no se realiza. Una partida nunca se borra físicamente: se marca y se conserva.

Lo mismo vale para el registro de auditoría y para toda acción administrativa que el personal de Biblori realice en su nombre. Cada entrada indica quién actuó y cuándo, y nunca se sobrescribe.

Cuando otra parroquia necesita saber si usted tiene registrado el bautismo de alguien, recibe una constancia tomada de su partida, nunca una copia de su libro ni acceso a él. Ninguna parroquia lee el libro de la otra. Los administradores diocesanos ven las parroquias de su diócesis y nada fuera de ella.

Una parroquia puede descargar en cualquier momento, desde su configuración, todo lo que guarda en Biblori: cada libro como hoja de cálculo e impreso tal como están rayados los libros, con las notas marginales; las personas y familias; las clases de formación, sus listas y asistencia; los certificados emitidos; las intenciones de misa. Los archivos se abren en cualquier hoja de cálculo o lector de PDF, sin Biblori. Una diócesis puede descargar todas sus parroquias a la vez.

La descarga se prepara cuando se pide, se entrega mediante un enlace que dura quince minutos y se borra de nuestro almacenamiento en menos de un día.

Las fotografías de las páginas de los libros se guardan en un depósito privado que nunca es de lectura pública. La aplicación entrega enlaces de corta duración firmados por el servidor, y solo el personal parroquial que puede escribir registros puede abrirlos, no todos los que pueden leer el libro. Una página que usted fotografía y a partir de la cual nunca guarda un registro se elimina en el plazo de un día mediante una tarea programada.

El paso al celular (escanear un código en la pantalla y fotografiar con su celular) guarda sus códigos de emparejamiento como hash, nunca en texto claro, y cada código se puede canjear una sola vez. El escáner es opcional: una parroquia que prefiera no enviar imágenes de sus libros a un proveedor de IA introduce las partidas a mano y no pierde nada más. El aviso de privacidad identifica al proveedor.

El personal inicia sesión con una contraseña, con Google o con un enlace enviado a su correo, mediante Supabase Auth. Las sesiones son tokens de corta duración que se renuevan en cada solicitud, y la retirada de un acceso surte efecto en la siguiente. Cualquiera puede añadir un segundo paso, un código de una aplicación de autenticación en su teléfono, con códigos de recuperación de un solo uso por si pierde el teléfono; una diócesis puede exigirlo al personal de sus parroquias.

Los sistemas asociados que escriben en Biblori (las aplicaciones de preparación matrimonial y de formación que alimentan la bandeja de entrada) firman cada solicitud con un HMAC de secreto compartido calculado sobre el cuerpo y una marca de tiempo; la solicitud se rechaza pasados cinco minutos y la firma se compara en tiempo constante. Los eventos de pago de Stripe se verifican por firma y se descartan los duplicados antes de que afecten a una suscripción.

La base de datos, la autenticación y el almacenamiento de archivos están en Supabase, en una región de Estados Unidos, cifrados en reposo y en tránsito por el proveedor. La aplicación se ejecuta en Vercel. Los datos de tarjetas y de cuentas bancarias van directamente a Stripe y nunca pasan por Biblori.

Las credenciales de servicio se guardan solo en la configuración del servidor. La clave que puede eludir la seguridad a nivel de fila se usa en dos archivos del servidor y nunca se envía a un navegador. Cada página se sirve con seguridad de transporte estricta y no permite que otro sitio la incruste. Cada cambio en el código se revisa en busca de errores de tipos, pruebas fallidas y dependencias con vulnerabilidades conocidas.

Supabase y Vercel tienen cada uno su propio informe SOC 2 Tipo II, y Stripe es un proveedor de servicios PCI DSS de Nivel 1. Una diócesis que evalúe proveedores puede recibir esos informes: escríbanos y se los enviaremos junto con un cuestionario de seguridad respondido.

Sin analítica, sin rastreadores, sin scripts de terceros en ninguna página, incluidos los sitios web parroquiales. Sin publicidad y sin elaborar perfiles de los feligreses. No leemos su correo electrónico ni su calendario: iniciar sesión con Google nos da su identidad y nada más. Y, como dicen los términos, nunca retendremos un libro ni un certificado por una factura: el software no tiene ningún mecanismo para hacerlo.

Si encuentra una vulnerabilidad, escriba a hello@biblori.com con lo que encontró y cómo reproducirlo. Acusaremos recibo en un plazo de dos días hábiles. Por favor, no haga pruebas con los registros de una parroquia real: para eso existen las parroquias de demostración del recorrido.