Seguridad y límites

La autoridad de gasto necesita una frontera explícita. La conversación no es una firma y una integración técnica no es una auditoría.

Controles implementados

• Autenticación por tenant y scopes; recursos y credenciales por entorno.
• Idempotencia por intento, hash de burn único, nonce CCTP y conciliación persistida.
• Comprobación del mensaje de Circle y de la autorización exacta; límites y pausa del vault.
• Guardas de mainnet y separación entre la API de integración y el firmante.
• Arranque cerrado: si las claves de TILCAI_API_KEYS no se pueden sincronizar, el proceso no arranca, en lugar de seguir aceptando una clave que el operador retiró. Los logs no muestran valores de clave.
• Readiness separada de liveness: /ready no anuncia capacidad de pago sin un relayer autenticado y configurado para la red correcta.

Lo que sigue pendiente

Nada de lo descrito aquí ha sido auditado. Falta validar en staging que Cloud Run tenga un solo escritor durante despliegues y restores: en un rollout conviven dos instancias, una por revisión (ver Operación y despliegue). Faltan auditoría independiente, registro completo de contratos mainnet, recuperación de cuentas probada, delegación limitada a agentes, validación de cargas concurrentes, respaldos y restauración operativa. Reputación no es un control productivo acreditado.

Si una llamada agota el tiempo

Conserva paymentId y hashes; consulta y concilia. No generes un segundo pago para resolver uno incierto. Los avisos del relayer y las capturas de pantalla no sustituyen evidencia en cadena ni confirmación bancaria autenticada.

Fuera del alcance por ahora

Trading autónomo, puentes de activos envueltos, compras sin adaptador comercial y conversión fiat sin proveedor verificado. CCTP mueve USDC nativo y sí tiene rutas documentadas, incluidas Avalanche Fuji y Monad Testnet hacia Stellar Testnet y Avalanche C-Chain hacia Stellar Public Network.