Content Security Policy
Orígenes propios por defecto, object embedding bloqueado, destinos de conexión/formulario restringidos y upgrade de solicitudes inseguras.
CENTRO DE CONFIANZA ALORIA
Trust is a technical boundary, not a badge wall.
Aloria separa controles públicos observables, evidencia de ingeniería específica por producto y assurance externo.
BASELINE DEL SITIO CORPORATIVO
Controles configurados en el sitio público de Aloria.
Estos son controles del sitio web. Los despliegues de producto se evalúan por separado.
Controles anti-framing
frame-ancestors 'none' and X-Frame-Options: DENY.
Hardening del navegador
nosniff, manejo de referrer strict-origin, restricciones explícitas de permisos y políticas cross-origin.
Límite de IA del lado servidor
Las credenciales de proveedores permanecen del lado servidor; el Advisor valida origen, tamaño de payload y límites de tasa y usa respuestas no-store.
MANEJO DE DATOS DEL AI ADVISOR
Conoce qué ocurre antes de escribir contexto enterprise.
El mapeo inicial se basa en taxonomía. El paso final del brief de arquitectura puede usar un proveedor de modelo de IA configurado; si no está disponible, se usa un fallback determinístico. Los Architecture Packs se guardan en session storage del navegador durante la sesión actual.
- El input del problema tiene un límite.
- Se aplican controles de origen y payload.
- Las respuestas son no-store.
- El Advisor actual no crea un dossier de Architecture Pack del lado servidor sólo para exportarlo.
SEÑALES DE CONFIANZA ESPECÍFICAS POR PRODUCTO
La evidencia de ingeniería permanece vinculada al producto.
La diligencia técnica verifica la implementación exacta de controles relevante para un despliegue propuesto.
Autonomous Revenue Engine
Las señales documentadas incluyen OIDC Authorization Code + PKCE, verificación RS256/JWKS, claims de tenant/rol, sesiones HttpOnly SameSite, gates de IA para datos de clientes, ejecución limitada por política, idempotencia, auditoría/evidencia append-only, controles canary y kill switch.
Revisar ARE →AI Governance Control Tower
AGCT expone una demo pública interactiva y un showcase técnico con datos sintéticos representativos, dando a los compradores una interfaz real para inspeccionar antes de la diligencia técnica privada.
Revisar AGCT →LÍMITES DE ASSURANCE
Lo que no se implica por defecto.
El assurance externo requiere evidencia independiente y, cuando corresponda, acuerdo por escrito.
NO IMPLÍCITOCertificación SOC 2 o ISO
NO IMPLÍCITOAprobación regulatoria o cumplimiento garantizado
NO IMPLÍCITOResidencia de datos fija en todos los despliegues
NO IMPLÍCITOUn DPA, SLA o anexo de seguridad firmado antes del acuerdo
NO IMPLÍCITOPreparación para producción inferida de una demo