Identidad y acceso
Roles diferenciados, contraseñas con hash, sesión de 30 minutos, regeneración de sesión, bloqueo temporal y revisión de estado en cada petición.
Seguridad
Protección del expediente clínico
La versión 3 separa la información por organización e incorpora controles técnicos que deben complementarse con medidas operativas y pruebas independientes.
Aislamiento y archivos
Las consultas y archivos se vinculan a la organización activa; multimedia y resultados se guardan fuera de la carpeta pública.
Integridad
Protección CSRF, consultas preparadas, validación MIME, límites de tamaño y contadores atómicos para documentos.
Trazabilidad
Bitácora de inicios de sesión, documentos, cambios de configuración y acceso a archivos.
Responsabilidades del operador
- Forzar HTTPS en la web y en la API SRI.
- Usar claves únicas para MySQL, PostgreSQL, JWT, cifrado y APP_SECRET.
- Eliminar setup.php después de crear el administrador inicial.
- Programar respaldos cifrados y probar periódicamente su restauración.
- Mantener PHP, Node, dependencias, VPS y cPanel actualizados.
- Revisar usuarios activos, auditoría, permisos y separación entre organizaciones.
- Contar con contratos, políticas de privacidad, conservación e incidentes.
Ningún software garantiza seguridad absoluta. Antes de manejar datos reales se requieren pruebas de penetración, revisión de arquitectura, monitoreo y procedimientos operativos.