Acceso mínimo, separación de proyectos y aprobación humana

Identidad y autorización

• Sesión humana para el portal y consentimiento OAuth 2.0 con PKCE para conectores compatibles.
• Access tokens OAuth de una hora y refresh tokens rotatorios y revocables.
• Cabecera Authorization: Bearer con API keys de proyecto dpk_ o tokens de agente globales dpa_, revocables desde el portal.
• OWNER o ADMIN para conceder acceso; lectura predeterminada y escritura confirmada por separado.

Datos y secretos

• Consultas acotadas al proyecto autorizado.
• Credenciales de proveedores cifradas en reposo.
• Los datos privados de cuentas, proyectos, leads, campañas, credenciales y auditoría no se autorizan para entrenamiento de modelos.
• El MCP comercial nunca contiene datos de clientes.

Comunicar una vulnerabilidad

Escribe a security@digitalpublic.com. No incluyas secretos ni datos personales innecesarios. Confirmaremos la recepción y coordinaremos una validación responsable.