Seguridad y aislamiento multi-tenant en un software que ve tu dinero

Un software multi-tenant —uno donde varias empresas comparten la misma base de datos— vive de una promesa que casi nunca se explica en detalle: que lo de tu flota no se mezcla con lo de otra. La mayoría de los proveedores lo resuelven con una frase de marketing. Aquí van los controles reales, sin siglas colgadas de adorno.

La pregunta que un contralor debería hacer, y casi nunca hace

No es "¿está en la nube?" ni "¿tiene certificación?". Es más simple y más incómoda: si alguien en tu equipo comete un error de configuración, o si otro cliente del mismo software tiene una fuga, ¿qué evita que eso llegue a tus datos? La respuesta correcta no puede ser "confiamos en que no pase" — tiene que ser un mecanismo verificable.

Cada flota vive aislada, y la verificación no está en la pantalla

La base de datos niega el acceso por default. Eso significa que el punto de partida no es "todo abierto, salvo lo que se proteja" — es "todo cerrado, salvo lo que se autorice explícitamente". Cada consulta re-verifica sesión, rol y flota directamente en el servidor, no en la pantalla que ve el usuario.

La diferencia importa más de lo que parece: un control que solo vive en la interfaz (esconder un botón, ocultar un menú) se puede saltar con una petición directa al servidor. Un control que vive en la base de datos no se puede saltar así — la pregunta "¿esto es tuyo?" se hace en el único lugar donde la respuesta no se puede falsificar desde afuera.

Qué significa esto en la práctica

• Un usuario de la flota A no puede ver un viaje de la flota B, aunque conozca o adivine su identificador exacto.
• El aislamiento no depende de que el equipo de soporte "tenga cuidado" — depende de una regla que se aplica sola, en cada consulta.
• Si algo se configura mal en la pantalla, el peor caso es un error visible, no una fuga silenciosa.

Las credenciales entran, pero nunca vuelven a salir

Conectar el ERP, el GPS o un monedero electrónico significa entregarle una credencial a un tercero. Esa credencial se guarda cifrada, con la llave de cifrado fuera de la propia base de datos — y, una vez guardada, nunca se vuelve a mostrar en ninguna pantalla, ni siquiera a un administrador.

Por qué "de ida" es la parte que importa

Un sistema que SÍ puede mostrarte tu credencial de vuelta es un sistema donde esa credencial también podría filtrarse por un error de pantalla, un log mal configurado, o una sesión robada. Guardarla "de ida" —que entra, se usa para conectar, y no hay camino de regreso— elimina esa categoría completa de fuga desde el diseño, no desde una política que alguien tiene que recordar cumplir.

Validación directa contra el SAT: lo que no pasa, no llega callado

Cada CFDI se valida directo contra el SAT: que esté vigente, que el receptor sea correcto, y que el emisor no esté en la lista 69-B. Un comprobante que no pasa esa validación no entra silenciosamente a la contabilidad de la flota como si fuera bueno — queda marcado, visible, para que alguien lo revise.

Esto no es exactamente un control de "seguridad" en el sentido de ciberseguridad, pero es del mismo espíritu: nada se da por bueno sin verificarlo contra la fuente que manda.

La IA nunca inventa una cifra — el motor calcula, la IA lee

El control más importante de esta lista es el que menos se parece a "seguridad" tradicional: los totales de una liquidación los calcula un motor determinístico, no un modelo de lenguaje. Si la IA y el motor no coinciden en algo, gana el motor — o no se manda nada.

Esto importa porque un modelo de lenguaje, por diseño, puede producir una cifra plausible que no es exacta. En un producto que toca dinero real de una flota real, "plausible" no es un estándar aceptable. La cifra que llega a la liquidación tiene que ser la que el motor calculó, siempre, sin excepción.

Qué preguntar antes de conectar cualquier sistema a tu flota

• ¿El aislamiento entre clientes vive en la base de datos, o solo en la pantalla?
• ¿Mis credenciales de ERP o GPS se pueden volver a mostrar en alguna pantalla, a alguien?
• ¿Qué pasa exactamente cuando un comprobante no valida contra la autoridad fiscal correspondiente?
• ¿Quién calcula el monto final: un modelo de lenguaje, o un motor de reglas fijas?

Si un proveedor no puede contestar estas cuatro con precisión —no con una frase de marketing— esa es la respuesta.