Seguridad en Montu

Los registros de cuenta, los perfiles de marca, los metadatos del contenido generado y los tokens de tiendas conectadas viven en una base de datos PostgreSQL gestionada de Neon, alojada en la Unión Europea. Las conexiones a la base de datos van cifradas con TLS y sus credenciales solo existen en nuestra infraestructura de despliegue.

La aplicación corre en Vercel y solo es accesible por HTTPS. Servimos HTTP Strict Transport Security con un max-age de dos años, includeSubDomains y preload, así que un navegador que haya visto Montu una vez no volverá a intentar HTTP sin cifrar.

Dodo Payments es el comerciante registrado y procesa todos los pagos. Montu recibe una confirmación y tu nivel de plan; nunca un número de tarjeta ni datos de dirección de facturación. En nuestra base de datos no hay datos de titular de tarjeta que proteger.

El tráfico hacia montuai.com y hacia la API se sirve sobre TLS 1.3 con HSTS precargado. Todas las llamadas salientes que hace Montu —a tu tienda, a los proveedores de datos de búsqueda, a los proveedores de modelos— son HTTPS.

Los tokens de acceso de tienda y de CMS se cifran con AES-256-GCM antes de escribirse: un IV aleatorio nuevo por valor, una etiqueta de autenticación y un sobre versionado para poder rotar la clave sin romper las filas existentes. Un texto cifrado manipulado falla al descifrarse en lugar de devolver en silencio algo incorrecto.

Las contraseñas se procesan con bcrypt a coste 12 y nunca se escriben en texto plano. Un intento de inicio de sesión con una dirección sin cuenta ejecuta igualmente una comparación bcrypt completa contra un hash señuelo, de modo que el tiempo de respuesta no sirve para averiguar qué correos tienen cuenta.

Cada ruta de API autenticada recibe un cliente de base de datos ligado a la persona que ha iniciado sesión. Cada modelo que pertenece a una cuenta —sitios web, contenido, palabras clave, informes, recursos de diseño, conexiones de tienda— queda acotado a ese usuario automáticamente: el id de un registro de otra cuenta se lee como «no encontrado», y una escritura dirigida a la fila de otro lanza un error en lugar de tener éxito.

El cliente acotado es defensa en profundidad, no un sustituto. Las rutas siguen comprobando que el sitio web y el registro son tuyos antes de actuar; el acotado es la red que atrapa a la ruta que se olvide. Los caminos que por diseño atraviesan cuentas —webhooks de facturación, tareas programadas, autenticación, herramientas de administración— están deliberadamente separados y nunca atienden peticiones de cliente.

El trabajo de generación de larga duración se despacha a endpoints internos que exigen a la vez un secreto compartido servidor a servidor y un token de capacidad emitido para esa única ejecución. El token de una ejecución abre la fila de esa ejecución y nada más.

Nada de lo que generas, ni nada de lo que leemos de tu sitio, se usa para entrenar modelos, ni nuestros ni de un proveedor. Los proveedores de modelos reciben solo el contexto operativo que necesita una tarea concreta, petición a petición, y nada se acumula para entrenamiento.

Los tokens de tienda, las claves de API y las contraseñas no forman parte de ningún prompt. Publicar es un paso aparte, en el servidor: descifra el token, llama a la API de tu tienda y lo descarta. Un modelo nunca lo ve.

Los artículos, textos de producto, publicaciones y diseños que Montu produce para ti son tuyos. Cancelar no revoca nada de lo que ya hayas publicado, y nunca borramos contenido de tu propio sitio o tienda.

Cuando conectas WordPress, Shopify, Salla, Zid, Ghost, Webflow o Medium, Montu hace exactamente una llamada autenticada de solo lectura a esa plataforma para demostrar que la credencial funciona antes de guardarla. Un pegado incorrecto se rechaza en lugar de sustituir en silencio una conexión que funcionaba.

Montu escribe solo los campos de contenido que ha generado. No cambia precios, inventario, variantes, envíos ni ajustes de la tienda, y nunca pide la contraseña de tu cuenta del CMS. Revoca el token de Montu desde la administración de la propia plataforma cuando quieras y la publicación se detiene al instante.

Es una norma fija, no una intención. Cuando la publicación en redes sociales se retiró del producto en septiembre de 2026, la tabla que guardaba sus tokens OAuth cifrados de acceso y de refresco se eliminó en ese mismo cambio. Conservar credenciales de una función que ya no existe es superficie de brecha sin ninguna ventaja.

Cada respuesta lleva una Content-Security-Policy, X-Frame-Options: DENY, X-Content-Type-Options: nosniff, una Referrer-Policy estricta, una Permissions-Policy que desactiva cámara, micrófono y geolocalización, y HSTS precargado. Los endpoints de inicio de sesión, registro, restablecimiento de contraseña, contacto y conexión de tienda tienen límites de frecuencia en la base de datos, para que el límite se sostenga en todas las instancias sin servidor y no por réplica.

Montu descarga URL que tú indicas: tu sitio, tu sitemap, la API de tu tienda. Esas peticiones nunca siguen una redirección a ciegas: cada salto se vuelve a analizar y a resolver, y un salto que aterrice en una dirección privada, de loopback o link-local se rechaza. Eso cierra la vía de falsificación de peticiones del lado del servidor hacia la infraestructura interna.

Las páginas públicas de montuai.com cargan Google Analytics 4, un píxel publicitario de Meta y un píxel de atribución de referidos, y preferimos decírtelo antes de que lo descubras en la pestaña de red. Lo que reciben son páginas vistas y, para un visitante con sesión iniciada, un identificador de cuenta cifrado. Lo que nunca reciben es lo que de verdad importa: ningún contenido generado, ningún dato de sitio ni de palabras clave, ninguna credencial de tienda. No vendemos datos personales, y la política de cookies enumera cada etiqueta y cómo rechazarla.