Seguridad, GDPR y Compliance: Cómo Protegemos Cada Byte

La seguridad no es una feature que se añade después. En Cadences, es una decisión arquitectónica que afecta cada capa del stack: desde cómo se aíslan los datos de cada organización hasta cómo se valida un clic en un botón de registro. Este artículo explica el modelo de seguridad completo.

Cada petición que llega a Cadences atraviesa múltiples capas de verificación antes de tocar un solo dato:

Cadences utiliza Cloudflare Turnstile en lugar de CAPTCHAs tradicionales. La diferencia es crítica: Turnstile verifica que el usuario es humano sin interrumpir la experiencia. No hay puzzles, no hay "selecciona los semáforos".

async function verifyTurnstile(token: string, ip: string) {
  const response = await fetch(
    'https://challenges.cloudflare.com/turnstile/v0/siteverify',
    {
      method: 'POST',
      headers: { 'Content-Type': 'application/json' },
      body: JSON.stringify({
        secret: env.TURNSTILE_SECRET_KEY,
        response: token,
        remoteip: ip,
      }),
    }
  );

  const result = await response.json();

  if (!result.success) {
    throw new Error('Bot detected — request rejected');
  }

  return result;
}

Turnstile se aplica en todos los formularios críticos: registro, login, contacto y pagos. El token se verifica server-side en el Worker, nunca en el cliente.

Cadences soporta dos flujos de autenticación distintos según el contexto:

No todos los usuarios tienen acceso a las mismas funcionalidades. Cadences implementa un sistema de feature guards que protege las APIs costosas y las funcionalidades premium:

class PremiumAPIAccessError extends Error {
  constructor(feature: string) {
    super(`Premium feature "${feature}" not available`);
    this.name = 'PremiumAPIAccessError';
  }
}

function requirePremiumFeature(org: Org, feature: string) {
  const allowed = org.plan?.features || [];

  if (!allowed.includes(feature)) {
    throw new PremiumAPIAccessError(feature);
  }
}

// Ejemplo de uso en endpoint de Voice AI
requirePremiumFeature(org, 'voice_calls');
requirePremiumFeature(org, 'elevenlabs_tts');

Esto es especialmente importante para las APIs que tienen coste por uso (ElevenLabs, Twilio, OpenAI). Un usuario del plan gratuito no puede generar llamadas de voz por mucho que conozca la URL del endpoint.

El aislamiento de datos en Cadences no es un filtro de software — es una garantía arquitectónica. Cada organización tiene su propia base de datos D1 (SQLite en el edge). No hay WHERE org_id = ? — toda la base de datos pertenece a un solo tenant.

Cada respuesta HTTP de Cadences incluye headers de seguridad que bloquean ataques antes de que el navegador ejecute código malicioso:

// Content Security Policy — controla qué puede cargar el navegador
Content-Security-Policy:
  default-src 'self';
  script-src 'self' 'unsafe-inline' challenges.cloudflare.com;
  style-src 'self' 'unsafe-inline' fonts.googleapis.com;
  img-src 'self' data: images.unsplash.com *.googleusercontent.com;
  connect-src 'self' *.cadences.app api.elevenlabs.io;
  frame-src challenges.cloudflare.com;

// Otros headers de seguridad
Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: DENY
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(self), geolocation=()

En las apps Electron (CadencesLab, Audio Hub), se aplica además context isolation: el código de la app no tiene acceso directo a las APIs de Node.js. Toda la comunicación pasa por un preload bridge con IPC tipado.

El GDPR no se cumple con un banner de cookies. Se cumple con decisiones arquitectónicas que permiten ejercer cada derecho que la regulación establece:

// GDPR Article 17: Right to erasure
await env.CF_API.deleteD1Database(org.dbId);
await env.R2.deletePrefix(`org/${orgId}/`);
await env.KV.deletePrefix(`org:${orgId}:`);
// Toda la organización desaparece. No hay restos.

Cadences maneja docenas de API keys y secrets de servicios externos: Google OAuth, Twilio, ElevenLabs, Stripe, DeepSeek, OpenAI, Anthropic. Ninguno de estos secretos aparece en el código fuente:

Cada organización tiene su propio Durable Object de rate limiting. No compartimos contadores entre tenants. Esto significa:

El rate limiter usa sliding window implementado con Durable Objects. Cada org tiene su propio DO, lo que significa que un abuso de org A no afecta a org B (no hay noisy neighbor).

La seguridad en Cadences no es un checkbox — es una propiedad emergente de la arquitectura. El aislamiento por tenant no es un filtro SQL, es una database separada. La protección anti-bot no es un CAPTCHA irritante, es Turnstile invisible. El cumplimiento GDPR no es un banner de cookies, es la capacidad de hacer DROP DATABASE y que desaparezca todo.

Cada capa funciona independientemente. Si mañana se descubre una vulnerabilidad en Turnstile, las otras 6 capas siguen protegiendo. Si un JWT se compromete, el rate limiter y los feature guards siguen bloqueando acceso no autorizado. Defense in depth no es un buzzword — es la única forma seria de construir software en 2026.

La mejor seguridad es la que el usuario no nota pero el atacante no puede superar.