Cómo maneja la seguridad Tuqui.store

A los compradores les cobra directamente tu propia cuenta de cobro (Stripe Connect, o MercadoPago en Argentina), como cargos directos y sin comisión de aplicación. No hay un saldo tuyo en nuestra plataforma, ni una cola de transferencias nuestra, ni nada que podamos congelar, perder o retener si quebramos.

Nunca vemos números de tarjeta. El checkout ocurre en las páginas del procesador, y lo que nos vuelve es un identificador y un estado. Tampoco vemos tus datos bancarios ni la documentación que te pidió el procesador: solo si tu cuenta está habilitada para cobrar.

Los reembolsos se emiten en tu cuenta y se registran solo cuando el procesador los confirma. Stripe y MercadoPago son la fuente de verdad del estado del dinero; nuestra base lo sigue, nunca al revés.

Cada webhook se verifica contra su firma antes de actuar sobre nada de lo que trae. Stripe firma el cuerpo crudo del request. MercadoPago no firma el cuerpo: firma un manifiesto que ata el id de la notificación, el id del request y una marca de tiempo, así que en ese camino además volvemos a pedirle el recurso a la propia API de MercadoPago y decidimos sobre lo que dice MercadoPago, nunca sobre lo que afirma la notificación. Un request sin firma o mal firmado se rechaza y queda registrado.

Cada evento se deduplica por su id y se aplica dentro de una sola transacción de base de datos, así que un reenvío no puede aplicar dos veces un reembolso o una venta. Los emails salen después de que esa transacción commitea, para que una falla de correo nunca pueda deshacer el estado del dinero.

Un reembolso o contracargo que llega antes que la orden a la que pertenece (ninguno de los dos procesadores garantiza el orden) deja una lápida que se consume cuando la orden aparece. Eso es lo que evita que un pago reembolsado reviva como una orden viva y descargable.

Los archivos de producto nunca son públicos. Los compradores reciben links de descarga con vencimiento cuyos tokens se guardan hasheados, no en texto plano, y cada link se valida y se cuenta en una única sentencia atómica.

Los links vencen a los siete días y se revocan al instante si la orden se reembolsa o se disputa. Las descargas de la página de gracias están atadas a esa orden puntual, así que un link copiado de la página de otro no resuelve nada.

Las imágenes subidas se vuelven a codificar antes de guardarse, lo que destruye cualquier cosa que no sea realmente una imagen, y los archivos públicos se sirven con content-type explícito y `nosniff`.

Las sesiones son cookies httpOnly y SameSite. Cada función de servidor vuelve a verificar la sesión en vez de confiar en la página que la llamó, y todo id que llega desde un navegador se valida contra la tienda que lo posee: ninguna acción puede llegar a los datos de otro creador adivinando un identificador.

La administración de la plataforma se limita a una lista explícita de emails que además verificaron esa dirección, y cada acción administrativa queda en un registro de auditoría con la identidad de quien la hizo.

Las subidas, las exportaciones y el formulario de contacto verifican el origen del request, y los endpoints públicos que mandan email o crean checkouts tienen límite de tasa por IP.

Clientes y contactos se exportan en CSV cuando quieras, incluso mientras te vas. No vendemos datos, no hacemos publicidad, y las tiendas de los creadores quedan excluidas por defecto de los crawlers de entrenamiento de IA: son tu trabajo y tu audiencia, no algo nuestro para entregar.

Cancelar te baja al plan gratis. No se borra nada por falta de pago.