Seguridad de nivel bancario, de extremo a extremo
Esta página explica, capa por capa, cómo Capay Global protege cada pago, cada desembolso y cada registro. Cada control descrito aquí funciona hoy en producción.
Última revisión: 3 de noviembre de 2026
Confianza de un vistazo
- Cifrado TLS en tránsito
- Cifrado AES-256 en reposo
- HTTPS obligatorio con HSTS
- PCI DSS: sin datos de tarjeta en nuestros sistemas
- Marco de control SOC 1 y SOC 2
- Autenticación de dos factores
- Aislamiento de datos a nivel de fila
- Registro de auditoría inmutable
- Pagos salientes con aprobación a cuatro ojos
- KYB, AML y filtrado de sanciones
- Revisión de seguridad completa, octubre de 2026
La seguridad en cifras
- 0
- números de tarjeta almacenados alguna vez en nuestros sistemas
- 100%
- de las tablas de la base de datos bajo seguridad a nivel de fila
- 7
- años de conservación de auditoría de solo anexado
- 2
- aprobadores en cada pago saliente por encima de tu umbral
- 300
- segundos antes de que caduque un enlace de documento
- 400
- días de registros de acceso del borde conservados para análisis forense
Cómo lo demostramos: auditar, corregir, probar, volver a auditar
No empezamos con una prueba de penetración. Primero auditamos toda la plataforma de producción, corregimos lo que encuentra la auditoría, invitamos a un equipo independiente a intentar entrar y volvemos a auditar para confirmar que las correcciones se mantienen.
- 01
Auditoría de producción en 13 capas
Una revisión completa de la plataforma en producción: autenticación, base de datos, API, flujos de dinero, alojamiento, despliegue, monitorización, recuperación y más. Completada en octubre de 2026.
- 02
Corregir lo que encontró la auditoría
Los hallazgos críticos y altos se corrigieron y verificaron esa misma noche. Cada punto pendiente tiene un responsable y se está cerrando, empezando por los que protegen el dinero y los accesos.
- 03
Prueba de penetración externa
Una empresa de seguridad independiente atacará la plataforma con nuestro permiso, para encontrar lo que nuestras correcciones hayan pasado por alto. Los clientes pueden solicitar el informe resumido bajo NDA.
- 04
Segunda auditoría
Repetimos la auditoría de 13 capas para confirmar que cada corrección se mantiene y luego actualizamos el cuadro de mando de esta página.
Cuadro de mando de producción: 13 capas
Qué protege hoy cada capa de la plataforma, revisado en nuestra auditoría de producción de octubre de 2026.
- 01
Autenticación y acceso
Autenticación de dos factores para comercios y personal, permisos por rol y controles de inicio de sesión que bloquean por defecto.
- 02
Base de datos y aislamiento de datos
Seguridad a nivel de fila en cada tabla, para que una empresa solo pueda leer sus propios datos, y cada función privilegiada comprueba primero el rol de quien la llama.
- 03
API y webhooks
Claves API con hash, límites de frecuencia por clave y por IP, listas de IP permitidas y webhooks firmados y protegidos contra reenvíos.
- 04
Integridad del dinero
Libro mayor de partida doble, asientos que deben cuadrar, idempotencia en cada operación de dinero y doble aprobación en los desembolsos.
- 05
Cifrado y secretos
TLS en tránsito, AES-256 en reposo y secretos en tablas bloqueadas que ninguna aplicación puede leer y que ningún registro muestra jamás.
- 06
Alojamiento y edge
AWS CloudFront detrás de Cloudflare, solo almacenamiento privado, HTTPS obligatorio con HSTS y cabeceras estrictas de navegador.
- 07
Despliegue y control de cambios
Despliegues automatizados con controles de seguridad integrados, comprobaciones en vivo tras cada despliegue y migraciones que pueden repetirse con seguridad.
- 08
Monitorización y alertas
Controles de estado de los proveedores, alertas de saldo de las billeteras, controles del libro mayor, cortacircuitos y una página de estado pública.
- 09
Registros y trazabilidad de auditoría
Un registro de auditoría de solo anexión conservado siete años, un identificador de solicitud en cada llamada a la API y registros de acceso en el edge conservados 400 días.
- 10
Escalabilidad y resiliencia
Límites de frecuencia, interruptores de emergencia y disyuntores que detienen un canal de pago con fallos sin detener los demás.
- 11
Recuperación y conciliación
Un control nocturno del libro mayor, revisiones automáticas de estado para que ningún pago quede pendiente y reintentos seguros que nunca cobran dos veces.
- 12
Respuesta a incidentes
Un plan escrito de respuesta a incidentes con niveles de gravedad, roles designados, interruptores de emergencia que detienen un canal en segundos y notificación a los clientes.
- 13
Cumplimiento y privacidad
Verificación KYB, AML y control de sanciones antes de que cualquier empresa entre en funcionamiento, supervisión continua y ningún dato de tarjeta en nuestros sistemas.
Cada paso de un pago, protegido
Sigue un pago desde el teléfono de tu cliente hasta tu saldo y mira qué control protege cada salto.
- 1
Tu cliente paga
En un checkout alojado o un enlace de pago servido por TLS. Los números de tarjeta nunca llegan a Capay Global; las aprobaciones de dinero móvil ocurren en el propio teléfono del cliente.
- 2
Tu integración llama a la API
Autenticada con una clave con hash y alcance limitado; con límite de tasa por clave y por IP; cada solicitud lleva una clave de idempotencia y un identificador de solicitud, y los datos con forma de tarjeta se rechazan en el borde.
- 3
El libro mayor lo registra
Existe una fila de intención antes de llamar a cualquier proveedor, y el crédito deriva de esa intención, nunca del cliente. Cada asiento debe estar balanceado o la base de datos lo rechaza.
- 4
El proveedor confirma
Los callbacks se verifican por firma sobre el cuerpo sin procesar con comparación en tiempo constante, se deduplican contra repetición, y el propio registro del proveedor se vuelve a consultar antes de aplicar nada.
- 5
Tú pagas
Los beneficiarios se filtran, los pagos salientes por encima de tu umbral esperan a un segundo aprobador con verificación de dos factores, los destinos se congelan tras la aprobación, y los circuit breakers detienen un riel que falla.
- 6
Tú lo ves todo
Acceso al panel detrás de la autenticación de dos factores, datos aislados por negocio mediante seguridad a nivel de fila, webhooks firmados hacia tus sistemas, y un registro de auditoría que no se puede editar.
Defensa en profundidad, cuatro capas
Cada capa asume que la de arriba puede fallar. Una solicitud tiene que pasar las cuatro antes de poder tocar el dinero.
- 01Borde
- Cloudflare y AWS CloudFront
- TLS en cada conexión
- HTTPS obligatorio con HSTS
- Control de acceso al origen, sin buckets públicos
- Cabeceras de navegador estrictas
- Registros de acceso conservados 400 días
- 02Aplicación
- Claves de API con hash SHA-256
- Límites de tasa por clave y por IP
- Idempotencia en cada llamada de dinero
- Guardián de datos de tarjeta en la entrada
- Webhooks firmados y protegidos contra repetición
- Sandbox aislado de los proveedores reales
- 03Datos
- Seguridad a nivel de fila en cada tabla
- Cifrado AES-256 en reposo
- Tablas de secretos de acceso cero
- Registro de auditoría de solo anexado
- Conservación durante siete años
- Almacén privado de documentos, enlaces de 300 segundos
- 04Dinero
- Libro mayor de partida doble en unidades menores
- Asientos balanceados obligatorios
- Aprobación a cuatro ojos con verificación de dos factores
- Interruptores de emergencia y circuit breakers
- Monitoreo del float en cada billetera
- Centinela de conciliación nocturno
Cifrado en tránsito y en reposo
- TLS en cada conexión: navegadores, API, webhooks y enlaces con proveedores. HTTPS es obligatorio en cada dominio de Capay Global con HTTP Strict Transport Security.
- Cifrado AES-256 en reposo para bases de datos y almacenamiento de objetos, gestionado por la gestión de claves respaldada por hardware de nuestros proveedores de infraestructura.
- Los secretos (credenciales de proveedores, secretos de webhooks, claves de idempotencia) viven en tablas de acceso cero que ningún rol de aplicación puede leer; se ocultan en cada registro y cada fila de auditoría.
- Los documentos de verificación se guardan en un bucket privado, limitado a la propia carpeta del negocio, y solo se abren mediante enlaces firmados de 300 segundos.
PCI DSS: una plataforma sin datos del titular de la tarjeta
- Nunca recibimos, almacenamos, procesamos ni transmitimos un número de tarjeta ni un CVV. El guardián de entrada rechaza los datos con forma de tarjeta en cada cuerpo de la API y un trigger de base de datos los rechaza en cobros, pagos salientes y reembolsos.
- Los pagos con tarjeta, donde se ofrecen, se ejecutan en páginas alojadas operadas dentro del alcance PCI DSS de nuestros socios; Capay Global solo maneja referencias enmascaradas.
- Las tarjetas virtuales se emiten a través de un socio con licencia; el número completo de la tarjeta nunca se almacena en nuestros sistemas.
Integridad del dinero
- Libro mayor de partida doble en unidades menores: cada movimiento es un asiento balanceado con una referencia única, y un trigger de base de datos rechaza cualquier asiento que no cuadre.
- Idempotencia en cada llamada de dinero: filas de reserva previa, referencias de asiento únicas y la misma clave enviada al proveedor, para que un reintento nunca pueda cobrar ni pagar dos veces.
- Aprobaciones a cuatro ojos en pagos salientes, ajustes y cambio de divisas, con verificación de dos factores para el aprobador.
- Interruptores de emergencia en cada punto de entrada, circuit breakers ante fallos de dispersión, monitoreo del float en cada billetera y un centinela nocturno del libro mayor que concilia las cuentas.
- El sandbox es físicamente incapaz de alcanzar un proveedor real.
Identidad y acceso
- Autenticación de dos factores (TOTP) para comercios y personal; las puertas se cierran ante la duda, nunca se abren.
- Seguridad a nivel de fila en cada tabla: un negocio solo puede leer sus propias filas, impuesto por la base de datos, no por el código de la aplicación.
- Permisos basados en roles para tu equipo (propietario, finanzas, desarrollador, soporte) y para el nuestro; cada acción privilegiada comprueba primero el permiso.
- Política de contraseñas con comprobación de contraseñas filtradas, códigos de un solo uso de corta duración, inicio de sesión con límite de tasa, y sesiones que terminan al cerrar sesión con las cachés vaciadas.
- Las invitaciones de administradores, los cambios de rol y las desactivaciones se auditan y tienen efecto inmediato.
Seguridad de la API y los webhooks
- Claves de API con hash SHA-256; solo se guarda un prefijo y la clave se muestra una sola vez al crearla.
- Límites de tasa por clave y por IP, listas de IP permitidas opcionales, topes de gasto diario, restricciones por país y método, y rotación con un clic.
- La capacidad de mover dinero real en las claves de agente se activa por separado y solo detrás de la autenticación de dos factores.
- Los webhooks salientes se firman con HMAC, con marcas de tiempo y protección contra repetición; los callbacks entrantes de los proveedores se verifican sobre el cuerpo sin procesar con comparación en tiempo constante, y la verdad del proveedor se vuelve a consultar antes de cualquier cambio de estado.
Programa de cumplimiento
- KYB antes de salir a producción: documentos de registro, beneficiarios finales, filtrado de sanciones y una aprobación por dos personas.
- Monitoreo AML continuo con flujos de resolución claros, actualización periódica del KYB y una calificación de riesgo por negocio.
- Registros financieros y registros de auditoría conservados durante siete años en tablas de solo anexado que bloquean ediciones y borrados a nivel de base de datos.
- Controles alineados con los Trust Services Criteria de SOC 1 y SOC 2 (seguridad, disponibilidad, confidencialidad, integridad del procesamiento) y con la postura PCI DSS de cero datos del titular de la tarjeta.
- En octubre de 2026 se completó una revisión de seguridad completa de la plataforma en producción (base de datos, autenticación, entrega web, API, rutas del dinero, navegador), con cada hallazgo corregido o asignado a un responsable.
Infraestructura y operaciones
- Sitios y aplicaciones servidos desde AWS CloudFront detrás de Cloudflare, con control de acceso al origen y cada bucket de almacenamiento privado.
- Cabeceras de navegador estrictas: framing prohibido, Content-Security-Policy frame-ancestors none, Permissions-Policy y aislamiento cross-origin opener.
- Registros de acceso del borde conservados 400 días para análisis forense; identificadores de solicitud, IP y agentes de usuario en cada llamada a la API.
- Auditorías de dependencias en cada build, una página de estado pública, sondas de salud en cada proveedor y alertas de incidentes al equipo de operaciones.
Dónde se guardan sus datos
Respuestas claras a las preguntas de residencia de datos de toda revisión de seguridad.
Base de datos y documentos de la plataforma
Alojados en Amazon Web Services a través de nuestro proveedor de base de datos, y cifrados en reposo con AES-256.
Sitios web, panel y checkout
Servidos en todo el mundo desde la red edge de Amazon CloudFront detrás de Cloudflare, para que las páginas carguen cerca de sus clientes. No se almacenan datos de clientes en el edge.
Socios de pago
Los datos necesarios para completar un pago solo se comparten con los socios autorizados de dinero móvil, banca y tarjetas que lo procesan.
Acceso por parte de nuestro equipo
Solo el personal autorizado puede abrir los registros de clientes, mediante permisos por rol, y cada acción privilegiada se escribe en un registro de auditoría que no se puede modificar.
Si algo sale mal
Cómo gestionamos un incidente de seguridad, desde la primera alerta hasta la revisión final.
- 01
Detectar
Alertas automáticas sobre fallos de proveedores, saldo de las billeteras, descuadres del libro mayor y actividad inusual llegan a nuestro equipo de operaciones.
- 02
Contener
Los interruptores de emergencia y los disyuntores detienen un canal de pago afectado en segundos, y las claves o sesiones expuestas pueden revocarse de inmediato.
- 03
Notificar
Los clientes afectados conocen qué ocurrió, qué significa para ellos y qué estamos haciendo, sin demoras indebidas y dentro del plazo que exige la ley.
- 04
Aprender
Cada incidente grave termina con una revisión escrita y las correcciones que evitan que vuelva a ocurrir.
Nuestro plan escrito de respuesta a incidentes fija los niveles de gravedad, los roles, los tiempos de respuesta y la notificación a los clientes. Los socios y los clientes empresariales pueden solicitar una copia bajo NDA.
Lo que te pedimos
La seguridad es compartida. Tres hábitos mantienen tu cuenta tan fuerte como la plataforma que la sostiene.
- 1Activa la autenticación de dos factores para cada miembro del equipo, empezando por los propietarios y finanzas.
- 2Guarda las claves de API en un gestor de secretos, nunca en el código, y rótalas cuando cambie el personal.
- 3Define un umbral de aprobación de pagos salientes y una lista de IP permitidas en tus claves de producción.
Políticas y documentos
La documentación detrás de los controles, publicada y mantenida al día.
Preguntas de seguridad, respondidas
¿Mis datos están cifrados?
Sí. Cada conexión a Capay Global usa TLS, y los datos se cifran en reposo con AES-256. Los secretos se guardan en tablas bloqueadas y nunca aparecen en los registros.
¿Almacenan números de tarjeta?
No. Capay Global nunca recibe, almacena, procesa ni transmite un número de tarjeta ni un CVV. Los datos de tarjeta se rechazan en el borde de la API y dentro de la base de datos, y los pagos con tarjeta solo se ejecutan en páginas alojadas dentro del alcance PCI DSS de nuestros socios.
¿Cumplen con SOC 2 y PCI DSS?
Nuestro marco de control está alineado con los Trust Services Criteria de SOC 1 y SOC 2, y la plataforma opera en la postura PCI DSS de cero datos del titular de la tarjeta. Los socios y los clientes empresariales pueden solicitar la descripción de seguridad, la matriz de controles y las atestaciones de nuestros proveedores.
¿Alguien en Capay Global puede mover mi dinero?
Ninguna persona por sí sola puede. Los pagos salientes por encima de tu umbral necesitan un segundo aprobador de tu lado, las acciones privilegiadas de nuestro lado exigen un permiso y un motivo escrito y dejan una entrada de auditoría que nunca se puede editar, y el libro mayor rechaza cualquier movimiento desbalanceado.
¿Cómo reporto una vulnerabilidad?
Escribe a nuestro equipo de soporte con los detalles; cada reporte recibe acuse y se atiende con prontitud. Pedimos divulgación responsable y nunca perseguimos a los investigadores de buena fe.
¿Han realizado una prueba de penetración?
Seguimos un orden estricto: primero una auditoría completa de producción (finalizada en octubre de 2026), luego las correcciones, después una prueba de penetración independiente y por último una segunda auditoría para confirmar que las correcciones se mantienen. Los socios y los clientes empresariales pueden solicitar bajo NDA el resumen de nuestra auditoría y, cuando esté disponible, el resumen de la prueba de penetración.
¿Dónde se almacenan mis datos?
La base de datos y los documentos de la plataforma están alojados en Amazon Web Services, cifrados en reposo con AES-256. Los sitios web y las páginas de pago se sirven desde una red edge global que no almacena datos de clientes.
Divulgación responsable
Los investigadores de seguridad son bienvenidos. Si crees haber encontrado una vulnerabilidad en Capay Global, cuéntanoslo en privado y danos un tiempo razonable para corregirla. Acusamos recibo de cada reporte y nunca perseguimos la investigación de buena fe.
- 1Envíe los detalles a nuestro equipo: qué encontró, dónde y cómo reproducirlo.
- 2Confirmamos que lo hemos recibido y le mantenemos informado hasta que esté corregido.
- 3Concédanos un tiempo razonable para corregirlo antes de hacerlo público.
¿Nos envía un cuestionario de seguridad?
Envíelo antes de su contrato, no después. Lo respondemos con esta página y el cuadro de mando y, bajo NDA, con nuestra descripción detallada de seguridad, la matriz de controles y las certificaciones de nuestros proveedores.
Empieza a cobrar pagos en toda África hoy
Crea una cuenta gratis, construye contra el sandbox y sal a producción tras la verificación.
Cuéntanos sobre tus corredores y volúmenes en cualquier momento.