🛡️ Hardening Estructural & Protocolos de Blindaje (Contabo 169.58.168.107)
En este servidor operan simultáneamente los servicios de producción más críticos del ecosistema:
Inandes ERP & Factoring, Petral One Fuel Trading, Dr. Pork Agro y el Cluster Supabase.
A continuación se detallan las 6 capas de seguridad y calidad pericial implementadas para garantizar cero caídas, cero fugas y protección perimetral estricta.
Capa 01 • Red & Perímetro
Aislamiento L7 & Zero Host Port Exposure
Ningún contenedor de base de datos (PostgreSQL 5432, Redis 6379) ni microservicio backend (FastAPI 8010, GoTrue 9999, PostgREST 3000) expone puertos hacia la IP pública del servidor. Toda la comunicación inter-servicio se realiza a través de redes puente Docker privadas: coolify (10.0.1.0/24) y inandes_network (10.0.3.0/24).
🛡️ Escáneres externos (Nmap/Shodan) solo detectan Traefik (:80/:443) y SSH (:22). Cero superficie de ataque a datos.
Capa 02 • Pre-Flight Quality Gate
Protocolo DNS Pre-Flight Gate (Regla de Oro #189)
Queda terminantemente prohibido inyectar un YAML en /data/coolify/proxy/dynamic/ solicitando certificados Let's Encrypt sin validar previamente en terminal que el DNS público tipo A ya apunte a 169.58.168.107.
⚡ RCA Forense: Si el DNS apunta a una IP apagada o inexistente, el resolver ACME entra en timeouts síncronos de 30s que congelan la cola de Traefik y degradan la latencia a 3,310ms.
Capa 03 • Centinela de Autocorrección
Traefik Dynamic Self-Healing Watchdog (Cron */2m)
El script /opt/sentinel_watchdog/scripts/sentinel_self_healing.py inspecciona cada 120 segundos la correspondencia exacta entre las IPs asignadas por Docker a los contenedores y los upstreams declarados en los YAMLs de Traefik.
🔄 Si Docker redespliega un contenedor con nueva IP (ej. 10.0.1.19 ➔ 10.0.1.7), el centinela auto-corrige el archivo y recarga Traefik en caliente en < 100ms, evitando errores 502 Bad Gateway.
Capa 04 • Alta Disponibilidad de Marca
Arquitectura Dual-Mirror (Kaizen / GeekSoft)
Tanto Inandes ERP como Petral One disponen de enrutamiento gemelo con certificados SSL independientes para ambos dominios:
• inandes.kaizencapital.pe • inandes.geeksoft.tech
• petral.one.kaizencapital.pe • petral.one.geeksoft.tech
🌐 Garantiza continuidad operativa total si uno de los registradores de dominio sufriera contingencias externas de DNS.
Capa 05 • Telemetría & Anti-Spam
Canalización Cifrada a Telegram & Purga de Vibian
Se purgó de forma definitiva todo rastro del dominio extinto Vibian en los centinelas de Hostinger y Contabo. Se desactivó el envío masivo de reportes por WhatsApp para evitar fatiga de alertas y posibles bloqueos de línea corporativa.
📱 Toda alerta de fallo, reparación de Traefik o auditoría se despacha exclusivamente al bot privado @geeksoft_contabo_bot con evidencia pericial y latencia exacta.
Capa 06 • Persistencia & RLS
Supabase Enterprise Cluster con Row-Level Security
Cluster de 14 contenedores gobernado por PostgreSQL 15 con extensión pgvector. Cada tabla opera bajo políticas RLS estrictas asegurando que ningún cliente de factoring o combustible pueda acceder a registros de terceros.
💾 Backups automáticos diarios a las 04:00 AM con compresión de base de datos y retención rotativa. MinIO S3 con almacenamiento cifrado para contratos y facturas.