Seguridad

AccessPlatform implementa seguridad basada en ASP.NET Core Identity, cookies seguras, 2FA, Turnstile, permisos por claims, auditoría y separación de persistencia en esquema identity.

Controles actuales

Control	Estado	Observación
Cookies Identity	Implementado	Nombres personalizados AccessPlatform.*.
2FA TOTP	Implementado	Google Authenticator y recovery codes.
Turnstile	Implementado configurable	Validación server-side cuando está habilitado.
Password policy	Implementado	Largo mínimo 12 y complejidad.
Lockout	Implementado	5 intentos / 15 minutos por configuración local.
Permisos por claims	Implementado	ClaimType permission.
Menú por permisos	Implementado	Valida UsersView y RolesView.
Acciones server-side	Parcial/implementado en servicios de usuarios	UserService valida permisos sensibles.
Auditoría	Implementada	identity.LoginAuditLogs.
HTTPS redirection	Implementado	UseHttpsRedirection().
Secretos externos	Pendiente producción	Deben salir de variables/vault.

Cookies

Cookies configuradas:

AccessPlatform.Identity
AccessPlatform.External
AccessPlatform.TwoFactorRememberMe
AccessPlatform.TwoFactorUserId

Criterios:

HttpOnly = true
Secure = Always
SameSite = Lax
SlidingExpiration = true

Roles base

Rol	Uso
SuperUsuario	Acceso total mediante permiso *.
Administrador	Rol administrativo configurable sin permisos implícitos en el seeder actual.
Usuario	Rol base sin permisos administrativos.

Permisos actuales

Identity.Users.View
Identity.Users.Create
Identity.Users.Update
Identity.Users.Activate
Identity.Users.Deactivate
Identity.Users.Delete
Identity.Users.ResetPassword
Identity.Users.ResetTwoFactor

Identity.Roles.View
Identity.Roles.Create
Identity.Roles.Update
Identity.Roles.AssignPermissions

*

Autorización

Patrón web:

[AuthorizePermission(IdentityPermissions.UsersView)]

Patrón API:

[Authorize(Policy = "Permission:Identity.Users.View")]

El PermissionAuthorizationPolicyProvider crea políticas dinámicamente para permisos y PermissionAuthorizationHandler evalúa si el usuario tiene el claim requerido o wildcard *.

Turnstile

Turnstile se valida en servidor mediante:

ITurnstileValidator
TurnstileValidator
TurnstileOptions

Producción

Turnstile:SecretKey no debe quedar en appsettings.json. Debe configurarse por variable segura o vault.

Auditoría

Eventos sensibles se registran en:

identity.LoginAuditLogs

Campos relevantes:

ClientCode
UserId
Email
EventType
IpAddress
UserAgent
IsSuccessful
FailureReason
CreatedAtUtc

Reglas de seguridad

• No hardcodear clientes en código.
• No versionar connection strings productivas, SMTP password ni Turnstile SecretKey.
• No ejecutar seed destructivo fuera de desarrollo.
• No usar LocalDB en IIS.
• Mantener HTTPS obligatorio fuera de local.
• Asignar permisos por claims, no por roles hardcodeados.
• Validar permisos server-side además de ocultar botones.
• Proteger SuperUsuario maestro contra modificación por otros administradores.

Pendientes

Pendiente	Prioridad
Ocultar botones por permiso específico	Alta
Revisar permisos definitivos del rol Administrador	Alta
Autenticación admin más robusta para escenarios API externos	Media
Auditoría con ActorUserId, TargetUserId y CorrelationId	Media
Rotación formal de secretos	Alta
Hardening IIS/Cloudflare/WAF para producción	Alta