¿Estamos expuestos a ciberataques al enviar e-fatura? ¿Es seguro el sistema, hay cifrado?

el sistema de e-fatura lo gestiona el estado, es muy seguro luego la contraseña está vinculada al certificado de firma electrónica, otro no puede entrar fácilmente... si cambia el contable, cierra el acceso desde el sistema y listo. revoca al usuario de gibe...

E-Fatura técnico: XML → firma digital (certificado cualificado) → transporte TLS → servidor GiBE. Seguridad GiBE: HSM (Módulo de Seguridad de Hardware), gestión de certificados, registro de auditoría (a prueba de manipulaciones), redundancia (alta disponibilidad). Integración: API SOAP (legado), API REST (nuevo), mTLS con certificate pinning. Riesgo de integración propia: validación de entrada (esquema XSD), almacenamiento de credenciales (HSM, no texto plano), limitación de tasa (DDoS), manejo de errores (divulgación de información).

el sistema de e-fatura del estado es muy seguro eh luego que la contraseña del certificao sea fuerte y gestiona los accesos de la cuenta GiBE uno por uno. si cambia el contable, cierra el acceso del anterior y dáselo al nuevo. si huele a raro en el software de integración cambia de procesador de pagos...

Seguridad de E-Fatura: 1) Certificado digital (firma electrónica cualificada), 2) Transmisión TLS 1.2+, 3) Logs de auditoría de GiBE (no repudio), 4) Acceso basado en roles (rol de contable restringido), 5) Caducidad de tokens (gestión de sesiones). Integración: autenticación API (certificado + clave), validación de entrada (XSD), codificación de salida. Incidente: revocación de certificado (comprobación CRL), notificación de brecha (gestión GiBE), investigación de la pista de auditoría.

Resumen breve para nuevos usuarios: Si la verificación en dos pasos está activa una contraseña robada no sirve de nada por sí sola.

Si escribís el resultado aquí, también servirá de ayuda a otros.

Ha sido una buena idea abrir este hilo.

Hay que ir paso a paso. La mayoría de los incidentes no empiezan por una vulnerabilidad sino por una contraseña filtrada.

Corrijanme si me equivoco.

Si vas por ahí, resuelve esto desde el principio. Si obtienes tres respuestas distintas sobre un tema, la pregunta está mal formulada.

Todo lo que no está por escrito, ambas partes lo recordarán de forma distinta en el futuro. Lo dejo como nota, por si sirve.

Después de vivir eso, mi perspectiva cambió. Que todo el mundo haga algo no significa que sea lo correcto.

Si la verificación en dos pasos está activa, una contraseña robada no sirve de nada por sí sola. Ánimo.

Exactamente así. El tiempo que tardas en detectar un problema determina directamente su coste.

Corrijanme si me equivoco.

Gracias me ha servido de mucha ayuda.

hablaré desde el otro lado, yo estoy en el lado del proveedor. la seguridad no es absoluta; significa hacer que el ataque no merezca la pena.

la respuesta varía muhco según el sector no hay una regla general luego si tenéis dudas escribid os responderé en la medida de lo posible.

El camino que parece barato suele salir caro a la larga. Que la copia de seguridad sea accesible en la misma red y con la misma identidad la convierte en parte del objetivo.

Yo seguiría por ese camino.

Este hilo es para archivar.

Hay un error muy común al hacer esto. Las decisiones apresuradas son las que hay que corregir seis meses después.

Ánimo.

No puedo estar totalmente de acuerdo. No tengáis miedo de preguntar, quien no pregunta siempre paga más caro.

Que todo el mundo haga algo no significa que sea lo correcto. Corrijanme si me equivoco.

Me pasó lo mismo. Las decisiones apresuradas son las que hay que corregir seis meses después.

Por supuesto, cambia si tu situación es diferente.

Exactamente así. Si el permiso y el alcance no están por escrito, que no empiece la prueba.

Tomar notas durante dos semanas da mejores resultados que estimar seis meses. Esta es mi opinión, no lo escribo como una verdad absoluta.