e.firma (FIEL)

Integrar cobros o emitir CFDI no requiere tu e.firma, así que no te la pido.
La única función que sí la usa, la Descarga Masiva del SAT, la toma en tiempo de ejecución de tu gestor de secretos (AWS Secrets Manager, Google Secret Manager o Azure Key Vault). Yo escribo el código que la lee; tu equipo carga el .cer, el .key y la contraseña.
Nunca recibo archivos ni contraseñas de la e.firma por correo, chat ni carpetas compartidas.

Certificados de sello digital (CSD)

Desarrollo y pruebas usan los certificados de prueba públicos del SAT, nunca los tuyos.
Tu CSD de producción lo sube tu equipo a tu PAC o a tu propio gestor de secretos.

Llaves de pago (Stripe, Mercado Pago, Conekta, Clip)

Construyo y pruebo en sandbox o modo de prueba.
Cuando el proveedor lo permite, producción usa llaves restringidas con solo los permisos que la integración necesita.
Tu equipo configura las llaves de producción y los secretos de webhooks como variables de entorno o secretos en tu infraestructura. Nunca se suben a un repositorio.

Acceso a tus sistemas

Una cuenta a mi nombre en tu nube, tus repositorios y tus herramientas, con autenticación de dos factores. Sin contraseñas compartidas.
Acceso mínimo: solo los servicios y ambientes que toca el proyecto. Acceso a producción solo cuando una tarea lo requiere.
Lo que hago queda registrado en tu propia bitácora de auditoría (por ejemplo AWS CloudTrail, Google Cloud Audit Logs o tu historial de Git).
El código vive en tus repositorios desde el primer commit.

Tus datos

Los datos de producción se quedan en tus sistemas. Trabajo con datos de prueba o anonimizados siempre que se puede.
Ningún dato de clientes, RFC ni factura entra a herramientas de IA sin tu aprobación por escrito y, cuando entra, los datos personales se ocultan antes.

Papeles y cierre del proyecto

Firmo un NDA antes de recibir cualquier acceso.
El contrato dice de qué soy responsable. Soy ingeniero, no tu contador: tu contador aprueba las reglas fiscales que aplica el sistema.
Al terminar el proyecto se elimina mi acceso y revisamos juntos una lista de rotación de llaves, para que nada de lo que pude ver siga siendo válido.

Dudas

Si tu equipo de seguridad o cumplimiento necesita algo específico, como un cuestionario, un gestor de secretos en particular o un flujo de aprobación propio, escríbeme (hola@cesarayala.dev) y nos ajustamos a tu proceso. Para saber cómo este sitio web trata los datos de sus visitantes, consulta el aviso de privacidad.

Cómo manejo tus credenciales