Seguridad y privacidad

TellMyShop solo guarda en tu tienda lo que tú apruebas, y cualquier cambio se puede deshacer. El chat inicia sesión en tu tienda con OAuth 2.1, los datos de clientes son inaccesibles para la IA y están cifrados en el historial de cambios, y el código ha pasado una revisión de seguridad según OWASP ASVS 5.0, el OWASP Top 10 para aplicaciones LLM, OAuth 2.1 con RFC 9700 y el CWE Top 25. Esta página explica con palabras sencillas cómo funciona. La sección del final es para tu informático o desarrollador.

En resumen

• Una vista previa y tu aprobación para cada cambio. El chat muestra antes → después y solo guarda después de tu «sí».
• Cualquier cambio se puede deshacer: con una frase en el chat o desde el historial de cambios. Antes del primer cambio de cada día se hace una copia completa de la base de datos.
• Inicio de sesión del chat con OAuth 2.1. El chat solo se conecta después de que hagas clic en «Permitir» en la ventana de tu tienda. Sin contraseñas ni claves que copiar.
• Los datos de clientes son inaccesibles para la IA y están cifrados en el historial de cambios y en las copias de archivos.
• Bloqueos permanentes: contraseñas, claves API, pagos, impuestos, estados de pedidos y cuentas quedan fuera del alcance del chat en todos los niveles.
• Sin intermediarios: el chat se conecta directamente al módulo de tu tienda.
• Revisión de seguridad según cuatro estándares, con pruebas automáticas y pruebas en una tienda PrestaShop (detalles).

Nada cambia sin tu sí

Cada cambio tiene tres pasos:

1. Vista previa. El chat te muestra lo que quiere cambiar: el texto antiguo y el nuevo, el precio antiguo y el nuevo, y los avisos.
2. Aprobación. El chat espera. Solo guarda cuando respondes «sí».
3. Guardado. El cambio se guarda igual que cuando un empleado hace clic en Guardar en el panel de administración.

Una vista previa vale 30 minutos y sirve una sola vez. Si mientras tanto alguien cambia el mismo producto en el panel, el chat tiene que mostrarte una vista previa nueva.

Leer (revisiones, búsquedas, informes) no cambia nada y no necesita aprobación.

El estándar TellMyShop: cómo habla el chat de los cambios

Antes de cada cambio, el chat muestra qué va a cambiar, te dice el riesgo y cómo deshacerlo, y te pide aprobación. Con precios y promociones recibes una ficha de riesgo breve.

El módulo le recuerda este estándar al chat en cada conexión y en cada vista previa. Cuanto mayor es el riesgo, más dice el chat:

Con más de 20 elementos, el chat muestra primero 2–3 ejemplos y propone probar con uno. Solo cuenta como aprobación un «sí» claro a una vista previa concreta; un «ok» sin contexto, una pregunta, un «quizá» o no responder no son aprobación. Después de guardar, el chat comprueba el resultado, lo resume con números (por ejemplo «28 de 30, 2 omitidos porque…») y te dice cómo deshacerlo.

En los cambios de riesgo bajo, el chat no añade avisos a propósito: demasiados avisos acostumbran a pulsar «sí» sin leer.

Las reglas de tu tienda para el chat. En la tarjeta Ajustes: seguridad, alertas, límites escribes tus propias reglas, una por línea, por ejemplo «Tuteamos a los clientes», «Nunca uses la palabra barato», «Descripciones de hasta 600 caracteres» (hasta 1000 caracteres en total). El chat las recibe en cada conexión. Nunca desactivan la vista previa ni tu aprobación antes de guardar.

Cualquier cambio se puede deshacer

• Pregunta «¿Qué cambiaste ayer?» y el chat muestra la lista. La tarjeta Historial de cambios del módulo también la muestra.
• Pide «Deshaz ese cambio» y el chat recupera el valor anterior, de nuevo tras una vista previa. Una serie entera se deshace con una frase, incluso 40 productos a la vez.
• Los productos, categorías y páginas nuevos que creó el chat se eliminan de la misma forma.
• Archivos (tema, módulos, archivos de la tienda): antes de cada cambio se hace una copia, que restauras desde el chat o desde la tarjeta Copias de archivos.
• Cambios en la base de datos en el área Mantenimiento: antes se copian las filas modificadas.
• Direcciones de páginas: el chat vuelve a poner la dirección anterior y comprueba que la antigua redirige.
• Base de datos: el módulo hace una copia de toda la base de datos de la tienda cuando activas el conector, antes del primer cambio de cada día, antes de activar Tema, Módulos o Mantenimiento, y cuando haces clic en Hacer copia ahora. Se conservan las 2 últimas copias, cifradas.

Algunas operaciones se deshacen de otra forma que desde el historial de cambios, por ejemplo desinstalar un módulo o cambiar la estructura de la base de datos en Mantenimiento. El chat lo dice en la vista previa, antes de que apruebes nada, y propone un camino más seguro, como desactivar un módulo en lugar de desinstalarlo.

Tú eliges lo que el chat puede tocar

El módulo lee toda la tienda desde el principio, salvo los bloqueos permanentes. El guardado se activa por áreas en la tarjeta Guardado por áreas:

• El interruptor se comprueba en el momento en que apruebas un cambio. Si caduca durante el trabajo, el chat se para en la vista previa y te dice qué activar.
• Puedes conectar cualquier chat en Solo lectura: entonces no ve ninguna herramienta de guardado.
• Sin licencia Pro, el módulo solo lee y prepara planes; no guarda nada.
• El chat trabaja como un empleado propio, solo con los permisos que le das. El registro de la tienda muestra todo lo que hizo.
• Límites por hora: por defecto 300 llamadas, 150 guardados y 20 guardados de archivos. Los cambias en la tarjeta Ajustes: seguridad, alertas, límites. Antes de trabajar con más de unos 20 elementos, el chat comprueba si cabe en los límites y, si no, propone etapas. Una serie de cambios nunca se queda a medias.

Quién puede conectarse a tu tienda

El chat inicia sesión en tu tienda con OAuth 2.1. La dirección de la tienda para el chat no es secreta, porque la dirección sola no da acceso. Un chat que quiere conectarse abre la ventana de tu tienda, y tú haces clic en Permitir o Denegar y eliges el acceso: lectura y cambios con tu aprobación, o solo lectura.

• Por defecto solo pueden conectarse Claude y ChatGPT.
• Ves cada chat conectado en la tarjeta Chats conectados (quién lo aprobó, desde cuándo, cuándo se usó por última vez) y lo desconectas con Desconectar. El chat pierde el acceso al instante.
• Recibes un correo «Nuevo chat conectado a tu tienda» por cada conexión nueva.
• Las conexiones van solo por HTTPS.

Permite solo cuando acabes de conectar tú un chat a tu tienda. TellMyShop nunca te pide que escribas un código recibido por correo, teléfono o chat.

La dirección antigua con clave (de antes de la 2.8) sigue funcionando en las tiendas actualizadas hasta que la apagues en Chats conectados → Avanzado: cómo se conectan los chats. Guarda esa dirección como una contraseña. Cuando todos los chats se conecten con inicio de sesión, apágala; así se borra la dirección antigua. Las instalaciones nuevas la tienen apagada desde el principio.

Te enteras de cada cambio importante

• Un correo por cada nuevo chat conectado y por cada acceso más amplio: Ventas, Tema, Módulos o Mantenimiento activados, acceso a datos de clientes activado, listas de IP vaciadas, alertas apagadas.
• Un resumen diario por correo los días en que pasó algo: cuántas veces se conectó el chat, qué cambió y las alertas, si las hubo.
• Una alerta ante actividad inusual: muchos cambios en poco tiempo o una dirección bloqueada tras 20 intentos fallidos de conexión.
• Una comprobación de los archivos del módulo. Si alguien cambia o añade un archivo en el módulo, recibes una alerta.
• Una clave de rescate. Si un cambio técnico deja la tienda en una página en blanco, abres la dirección de rescate, escribes la clave y el módulo recupera los archivos que cambió. Funciona incluso cuando la tienda no carga.

Las alertas van a la dirección de correo de la tienda, salvo que indiques otra.

Seguridad adicional para los precios

• Un precio no puede ponerse a 0.
• Un cambio de precio de más del 30 % necesita tu aprobación adicional.
• Un descuento de más del 90 % necesita tu aprobación adicional; a partir del 50 % recibes un aviso.
• Los códigos de descuento nuevos empiezan desactivados. Los revisas antes de que los clientes puedan usarlos.

Los datos de tus clientes

Los datos de clientes son inaccesibles para la IA y están cifrados en el historial de cambios. La protección de los datos de clientes es una función aparte, independiente de las áreas de guardado: activar Ventas, Tema o Módulos no expone ningún dato personal. TellMyShop te ayuda a cumplir los requisitos del RGPD, el UK GDPR, la CCPA/CPRA y la LGPD.

En la tarjeta Datos de clientes (RGPD) eliges uno de tres niveles:

• Inaccesibles (tras la instalación). El chat no ve clientes, direcciones ni mensajes. Los informes de ventas muestran productos e importes, sin nombres.
• Seudonimizado. El chat ve pedidos, mensajes y estadísticas, pero los nombres se reducen a iniciales, y los correos, teléfonos y direcciones se sustituyen por un alias como «Klient-3f9a1c». El chat puede decir «este cliente ha pedido 3 veces» sin saber quién es. No puede cambiar datos de clientes.
• Acceso completo (temporal). Durante 1, 4, 8 o 24 horas, con un motivo que escribes tú, por ejemplo «reclamación del pedido 1234». Después, el acceso vuelve solo al nivel anterior y recibes un correo.

Cómo funciona:

• El módulo encuentra los datos personales por sí solo, también en tablas de módulos de otros fabricantes (opiniones, boletines, programas de fidelización). La tarjeta Datos de clientes (RGPD) muestra cuántas tablas ha encontrado.
• Cifrado. Las entradas del historial con datos de clientes y todas las copias de archivos están cifradas (libsodium), y la clave está en un archivo fuera de la base de datos. Una filtración de la base de datos por sí sola no expone esas entradas.
• Archivos siempre bloqueados: archivos con contraseñas y claves, archivos de clientes (upload/, download/), registros del servidor, volcados y copias de la base de datos, .git y los archivos del propio módulo. En registros y mensajes, los correos, teléfonos y direcciones IP aparecen enmascarados.
• Registro de auditoría: quién activó el acceso completo a los datos, Mantenimiento y la licencia, y cuándo. No se puede vaciar desde el panel; lo descargas en CSV.
• El módulo RGPD de PrestaShop (psgdpr): borrar o exportar los datos de un cliente incluye también el historial de TellMyShop.
• Textos para los documentos de tu tienda: el módulo propone un apartado para la política de privacidad y una entrada para el registro de actividades de tratamiento.

Tu tienda sigue siendo la responsable de los datos de sus clientes. El reparto de obligaciones está en el acuerdo de tratamiento de datos.

Adónde van tus datos

• El módulo funciona en tu propio servidor. El chat se conecta directamente a él, sin intermediarios.
• Cuando el chat lee algo, va de tu tienda a tu cuenta de Claude o ChatGPT. Las conversaciones se rigen por las condiciones del proveedor del chat; TellMyShop no las ve ni entrena modelos con ellas.
• El servidor de TellMyShop no recibe tus productos, pedidos ni clientes. La comprobación de licencia envía solo tu clave de licencia, el dominio de la tienda, un identificador de instalación aleatorio y los números de versión (módulo, PrestaShop, PHP). En el panel puedes activar tú las estadísticas de arranque: solo números, sin contenido de la tienda ni datos de clientes.

El texto de tu tienda no es una instrucción

Una descripción de producto, un comentario o un mensaje de un cliente pueden contener texto que parece una orden para la IA. TellMyShop tiene para esto varias protecciones a la vez: el chat tiene la indicación de tratar el contenido de la tienda como texto, y los resultados con contenido de la tienda llevan el mismo recordatorio. Las contraseñas, los pagos y los impuestos están bloqueados para siempre, solo tú activas las áreas de riesgo y cada cambio espera una vista previa y tu «sí».

Revisión de seguridad

En octubre de 2026, la versión 2.8 de los módulos y de la web de TellMyShop pasó una revisión de seguridad punto por punto, con pruebas automáticas y pruebas en una tienda PrestaShop 8.1. Las correcciones de la revisión están en la versión 2.8.1.

Validador oficial de módulos de PrestaShop: sin observaciones en las secciones de seguridad, licencias, estructura, traducciones y optimización (versión 2.8.1). El plugin de WordPress está hecho según las directrices de WordPress para plugins.

¿Has encontrado una vulnerabilidad? Escribe a [email protected] antes de publicar los detalles.

Detalles técnicos

Inicio de sesión del chat (OAuth 2.1). El módulo es el servidor de autorización y el servidor de recursos para el chat. Solo authorization code, con PKCE (S256) obligatorio; sin flujo implícito ni password grant. Coincidencia exacta de la URI de redirección (excepción solo para el puerto loopback, RFC 8252). Códigos de un solo uso; reutilizarlos revoca la conexión. Rotación del refresh token con detección de reutilización. Tokens opacos, enviados solo en la cabecera Authorization, guardados solo como hash SHA-256. Vinculación al destinatario (RFC 8707 resource), iss en la respuesta (RFC 9207), metadatos del servidor de autorización (RFC 8414) y del recurso protegido (RFC 9728), WWW-Authenticate en 401, registro de clientes (CIMD y RFC 7591) con límites, revocación (RFC 7009). Ventana de consentimiento: token CSRF (HMAC) y cookie __Host-, frame-ancestors 'none', X-Frame-Options: DENY. Consentimiento: el propietario con sesión iniciada en el panel en el mismo navegador, o un código de la ventana del chat, válido 15 minutos, escrito en la tarjeta Chats conectados. El scope shop.read oculta las herramientas de guardado. El inicio de sesión necesita un hosting que pase la cabecera Authorization; la prueba de conexión del panel lo comprueba.

Dirección con clave (método antiguo). Un token estático en la URL (?token=) o en la cabecera Authorization: Bearer, activado en Chats conectados → Avanzado; apagado en las instalaciones nuevas. Solo se guardan el hash SHA-256 y un prefijo; el token completo se muestra una vez; un token nuevo revoca el anterior al instante. Usa la cabecera cuando el cliente lo permita.

Protecciones del endpoint (src/Endpoint.php, en este orden):

IP del cliente: las cabeceras de proxy (CF-Connecting-IP, X-Forwarded-For) solo se usan si está activado «Tienda detrás de un proxy / Cloudflare» y el par directo está en la lista de proxies de confianza.

Escrituras. change_token = HMAC de la herramienta, los argumentos y un hash del estado «antes»; 30 minutos, un solo uso; la ejecución se bloquea si los datos cambiaron después de la vista previa. Los guardados pasan por ObjectModel (ObjectWriter): validación por campo, solo los campos cambiados, hooks actionObject…Update*, entrada en el registro de PrestaShop con el ID del empleado del conector, historial de cambios que anota cada fila cambiada, también las que otros módulos cambian de paso. Detalles: Especificación §5.

Archivos. Tema: lista blanca de Smarty y compilación de prueba (SmartyGuard), comprobación de JSON, avisos ante scripts nuevos y dominios externos, tema padre solo lectura. Módulos y archivos de la tienda (Files\Zone): solo rutas relativas, realpath() dentro de la zona, solo extensiones de texto; paquetes ZIP de módulos comprobados antes de extraerlos (zip-slip). Siempre denegados: app/config/parameters.*, config/settings*.inc.php, .env*, *.key|pem|p12|crt|sql|sql.gz|dump|bak, .git, .svn, var/logs, upload, download, el directorio privado del módulo y el propio módulo. Archivos PHP: comprobación de sintaxis con token_get_all(TOKEN_PARSE) antes de escribir; ninguna herramienta para ejecutar código. Cada escritura va precedida de una copia; copias durante 90 días, al menos las 5 últimas por archivo. Descarga de imágenes y paquetes: solo IP públicas, fijadas a la conexión, sin redirecciones a la red interna (SSRF).

SQL (área Mantenimiento). ps_db_query (Pro): SELECT/SHOW/DESCRIBE/EXPLAIN en una transacción READ ONLY, máximo 200 filas, correos y teléfonos enmascarados. ps_db_execute (interruptor Mantenimiento, 3 h): una sentencia, sin comentarios (SqlGuard); UPDATE/DELETE en una tabla copian antes las filas afectadas (máximo 1000) y se deshacen si cambian más filas de las declaradas; INSERT se deshace borrando la fila; los cambios de estructura se marcan en la vista previa. Siempre bloqueados: empleados, sesiones, perfiles y accesos, configuration (mediante ps_config, secretos enmascarados), webservice y clientes API, tablas del conector. Tablas con datos personales solo con el nivel de datos de clientes pseudo (enmascarado) o full. Mantenimiento es acceso técnico completo, por eso se activa durante 3 horas, necesita una copia correcta de la base de datos y queda en el registro de auditoría.

Datos de clientes (src/Privacy/PersonalData.php). Niveles off / pseudo / full (CUSTOMER_DATA); full solo durante 1/4/8/24 h con un motivo indicado y una confirmación expresa, después vuelve al nivel anterior. Detección: lista fija de tablas de PrestaShop y de módulos habituales (customer, address, orders, cart, messages, newsletter, psgdpr…) más cualquier tabla con una columna cuyo nombre coincida con patrones de correo, nombre/apellido, teléfono, dirección, código postal, IP, fecha de nacimiento, número fiscal o secreto, leídos de information_schema; tablas de negocio (contact, store, supplier, manufacturer, warehouse, carrier) excluidas. Enmascarado en el nivel pseudo: correo, teléfono, dirección y números de identidad → alias Klient- + 6 caracteres hexadecimales (HMAC-SHA256 con una clave diaria derivada de var/tellmyshop/keys/pseudonym.key); nombre → iniciales más el alias; IPv4 → dos primeros octetos, IPv6 oculta; fecha de nacimiento → año; secretos → ***. Texto libre (registros, mensajes, archivos): correos acortados a j***@g***.com, teléfonos, IP, tokens y cabeceras Authorization enmascarados. ps_list_changes enmascara los datos de clientes en cada entrada, sea cual sea CUSTOMER_DATA.

Copias de la base de datos (src/Storage/DbBackup.php). Volcado SQL completo, gzip, cifrado, en var/tellmyshop/db-backups/; se hace al activar el conector, antes del primer cambio aprobado del día, antes de Tema, Módulos o Mantenimiento, y con Hacer copia ahora; se conservan las 2 últimas; se borran al desactivar el conector y al desinstalar. No es una instantánea transaccional. Mantén también tus propias copias del servidor.

Cifrado (src/Security/Crypto.php). libsodium secretbox (XSalsa20-Poly1305), una clave aleatoria de 32 bytes en var/tellmyshop/keys/history.key, fuera de la base de datos. Cifrados: el historial de cambios de objetos con datos de clientes, todas las copias de archivos y de la base de datos. Haz copia del archivo de la clave junto con la copia del servidor y guárdala aparte: sin la clave, los cambios cifrados no se pueden deshacer.

psgdpr. Hooks actionDeleteGDPRCustomer (borra los datos del cliente del historial cifrado) y actionExportGDPRData (lista las operaciones del conector que afectaron al cliente, sin valores).

Alertas al propietario (src/Security/Alerts.php). Correo y entrada de registro con estado ALERT ante: un chat conectado nuevo, datos de clientes pseudo/full, área Ventas, Tema, Módulos o Mantenimiento activada, listas de IP vaciadas, alertas apagadas, ráfaga de escrituras (20 en 10 minutos), bloqueo de IP, alteración de la integridad de los archivos del módulo. El mismo evento como máximo una vez cada 15 minutos (los eventos del panel, siempre). Resumen diario una vez cada 24 h. Integridad (src/Security/Integrity.php): SHA-256 de cada archivo comparado con el disco; se listan los archivos PHP cambiados, borrados y añadidos; se comprueba en cada visita al panel y como máximo cada 6 h desde el conector.

Clave de rescate (src/Security/RescueKey.php). Se muestra una vez; solo se guarda su SHA-256. Un script se copia a la raíz de la tienda con un nombre aleatorio, porque PrestaShop bloquea las llamadas PHP directas en modules/. Restaura los archivos cambiados por el conector y apaga Mantenimiento; los cambios de la base de datos se restauran desde el historial de cambios o una copia de la base de datos. Se elimina al desinstalar.

Conservación. Registro de conexiones 30 días (7–180); historial de cambios 180 días (30–730); copias de archivos 90 días con al menos 5 por archivo; copias de la base de datos: las 2 últimas.

No hacen falta: PrestaShop Account, Eventbus. Conexiones salientes: el servidor de licencias (https://tellmyshop.com/api/v1), las páginas de la propia tienda (HttpProbe, comprobaciones de URL), las URL de paquetes ZIP de módulos y de imágenes que el chat pasa a petición del propietario.

Lista de comprobación para informática

• Empleado y perfil propios e inactivos, no SuperAdmin (lo hace el botón del panel para la cuenta del conector).
• Lista de Chats conectados revisada, chats desconocidos desconectados; los chats que no necesitan guardar, conectados en «Solo lectura».
• Dirección con clave apagada si no hace falta.
• Ventas, Tema, Módulos y Mantenimiento activados solo mientras dura el trabajo; clave de rescate generada y guardada fuera de la tienda.
• Datos de clientes en «Inaccesibles», salvo que una tarea los necesite; acceso completo solo con un motivo indicado.
• Listas de IP permitidas revisadas; ajuste de proxy correcto si la tienda está detrás de Cloudflare.
• Dirección de correo de las alertas comprobada.
• Archivo de la clave de cifrado copiado junto con la copia del servidor.
• ps_check_shop_health ejecutado antes de cambios grandes.

---

PrestaShop es una marca registrada de PrestaShop SA. Claude es una marca de Anthropic. ChatGPT es una marca de OpenAI. TellMyShop no está afiliado a ninguna de ellas.