Seguridad

Cifrado de credenciales y certificados

Su certificado digital (.p12), su PIN y las credenciales del ATV se guardan cifrados con AES-256-GCM. No se almacenan en claro, no se muestran de nuevo tras cargarlos y se descifran únicamente en el momento de un proceso autorizado de emisión o consulta ante Hacienda. La llave de cifrado vive fuera de la base de datos.

Conexión privada con Hacienda

La generación de XML, el firmado y el envío se realizan a través de un microservicio que se comunica con Hacienda. Ese componente opera en una red privada, no expuesta a internet: solo nuestro servidor de aplicación puede alcanzarlo.

Respaldo legal por 5 años

Cada comprobante firmado y cada respuesta de Hacienda se conservan el plazo que exige la ley costarricense (5 años) y quedan descargables en todo momento — también si algún día decide migrar a otra plataforma.

Integraciones firmadas

Las llaves de la API pública se almacenan como hash, no en claro, y son revocables en cualquier momento. Los webhooks salientes se firman con HMAC-SHA256 para que su sistema pueda verificar que el evento proviene de fivi.

Acceso y sesiones

El acceso es multiempresa con control por usuario y por empresa. La plataforma se sirve siempre sobre HTTPS.

Reporte de vulnerabilidades

Si detecta un problema de seguridad, escríbanos a través de la página de contacto. Agradecemos el reporte responsable.