Avance de infraestructura, auditoría del repositorio y plan de cierre del módulo de tareas hacia ambiente productivo.
Dónde estamos hoy, qué se entregó esta etapa y qué queda para llevar la plataforma a producción de forma segura.
Servidor propio, hardening, panel de despliegue, certificado SSL, dominio operativo y bucket de archivos configurado.
Funcionalidad base lista. Todo lo pendiente — bugs, permisos, adjuntos R2 — se cierra en menos de 1 semana. Después arranca logística.
Bloqueantes de seguridad detectados en auditoría. Plan de remediación definido — resolución en los próximos 5 días hábiles.
Infraestructura técnica del servidor propio y servicios de soporte, lista para alojar el sistema YAIO bajo control del negocio.
SSH con llave · puerto no estándardeploy.yaioapp.com en HTTPSMapa simplificado de la infraestructura que soporta YAIO. Verde · terminado · ámbar · en proceso · gris · pendiente.
Primera sincronización completa con el código del equipo de producto y auditoría técnica en modo lectura, sin modificar archivos.
69 archivos actualizados · +5.530 líneas de nuevo código. Módulos de organigrama, desempeño y permisos refinados desde la última revisión.
Arquitectura, riesgos de producto y seguridad sin modificar archivos. Verificación de tipos y validaciones de despliegue dual.
3 críticos · 16 altos · 9 medios. Hallazgos clasificados por severidad y prioridad de impacto en producción.
Acción inmediata ya ejecutada por desarrollo: se removió del control de versiones el archivo de variables sensibles que estaba expuesto, se preparó la configuración alternativa de despliegue para infraestructura propia (Dockerfile, adaptador de servidor, plantilla de variables sin secretos), y se validó localmente que la aplicación arranca correctamente.
Avance por capacidad contra el alcance acordado en la Fase 1.
Detectados en la auditoría. Son corrección de desarrollo, no rediseño. Plan de fix listo y se resuelven la próxima semana.
Se detectó una contraseña en texto plano dentro de un archivo del repositorio. Riesgo de acceso indebido a una cuenta del sistema.
Cualquier usuario autenticado puede disparar el envío de correos y mensajes pendientes del sistema, incluyendo notificaciones dirigidas a otros usuarios.
La regla actual permite a cualquier usuario insertar notificaciones dirigidas a cualquier otro usuario, habilitando posible spam o phishing interno.
No detienen la operación, pero deben cerrarse durante el cierre de Fase 1.
| Hallazgo | Impacto en operación | Estado |
|---|---|---|
| Comentarios en tareas estándar | Hoy fallan: el sistema exige asociar a un proceso, pero la mayoría son tareas directas. | En fix |
| Selector de "asignar a" para gestores | Un jefe de área solo se ve a sí mismo en el listado, no puede asignar a su equipo. | En fix |
| Visibilidad del supervisor | El campo existe pero el supervisor no aparece en el formulario ni puede ver la tarea en su panel. | En fix |
| Definición operativa del rol "gestor" | Hoy el rol técnico ve todas las áreas y sucursales. Falta decisión: supervisión global o por área. | Decisión |
| Modelo de sucursales (~25 puntos) | El sistema no tiene el concepto de "sucursal" como dimensión de seguridad y filtrado. | Decisión |
| Tareas rutinarias automáticas | La pantalla está lista pero la automatización aún genera tareas con frecuencia fija de 1 día. | En desarrollo |
| Encabezados de seguridad en servidor | Faltan políticas anti clickjacking y carga indebida de recursos externos. | Pendiente |
Almacenamiento dedicado para adjuntos de tareas, fotos de inventario, documentos de logística y archivos de procesos operativos.
Bucket privado por defecto, integrado con la cuenta corporativa del negocio. Compatible con los estándares del mercado y bajo control total de la empresa.
→ Trabajo de desarrollo · 1 jornada técnica
Resultado: el negocio ya cuenta con almacenamiento propio, separado del proveedor de base de datos. Esto entrega control sobre archivos sensibles, reduce dependencia externa y abre la puerta para módulos futuros como logística y catálogo de productos.
Componentes externos necesarios para completar la Fase 1 según el alcance acordado.
Verificación corporativa
Definición operativa
Estas tres definiciones desbloquean el trabajo técnico restante y aterrizan el modelo de permisos definitivo del sistema.
Todo lo pendiente del módulo de tareas se resuelve en menos de 7 días. Al terminar la semana, Fase 1 queda cerrada y el siguiente paso es logística.
Meta de la semana: módulo de tareas operativo en producción controlada. WhatsApp queda como iteración posterior si la junta lo define; no bloquea el cierre de Fase 1 ni el inicio de logística.
Fase 1 se cierra esta semana. El próximo paso del proyecto es el módulo de logística.
≤ 7 días
▸ ENTREGA: FIN DE SEMANA
Arranca al cerrar Fase 1
▸ INICIO: SEMANA SIGUIENTE
Fase 1 se cierra en menos de una semana. Lo pendiente son fixes concretos, no rediseño. Al terminar, el proyecto avanza directo al módulo de logística.
Cerrar tareas: críticos, bugs, permisos, adjuntos R2 y UAT. Entrega fin de semana.
Deploy en servidor propio, bucket R2 conectado, hallazgos críticos resueltos.
Arranque Fase 2 Logística: mapeo de flujos, terminales, pantallas y datos maestros.