Seguridad

┌─ Tu backend (secret key: allsign_live_sk_xxx) ───────────┐
│  POST /v2/signing-sessions                                │
│  → Crea documento + firmantes + config                    │
│  → Devuelve client_secret (token efímero, 15 min)         │
│  → La secret key NUNCA sale de tu backend                 │
└───────────────────────────────────────────────────────────┘
          │
          │  client_secret (single-use, scoped a 1 session)
          ▼
┌─ Tu frontend (solo el client_secret) ────────────────────┐
│  JS SDK monta iFrame con el client_secret                 │
│  → client_secret es la UNICA credencial en el browser     │
│  → postMessage con origin validation                      │
│  → CSP frame-ancestors restringe dominios                 │
└───────────────────────────────────────────────────────────┘
          │
          │  iFrame carga allsign.io/embed/sign/{session_id}
          ▼
┌─ AllSign ────────────────────────────────────────────────┐
│  Token hash (SHA-256) — nunca se almacena en texto plano  │
│  Sesión atada a: documento + firmante + timestamp         │
│  OTP opcional pre-firma (email o WhatsApp)                │
│  Camera permissions para IDV embebido                     │
└───────────────────────────────────────────────────────────┘

// ✅ Backend — usa la secret key
const response = await fetch('https://api.allsign.io/v2/signing-sessions', {
  method: 'POST',
  headers: { 'Authorization': 'Bearer allsign_live_sk_xxx' },
  body: JSON.stringify({ document_id, signer_email })
});
const session = await response.json();
// session.client_secret → pásalo a tu frontend

// ✅ Frontend — usa SOLO el client_secret
const signing = AllSign.init({ clientSecret: session.client_secret });
signing.modal();

// ❌ NUNCA pongas la secret key en el frontend
// El SDK detecta este error y lo rechaza con un mensaje claro

// ✅ Correcto: crea la session al momento de abrir
async function openSigning() {
  const { client_secret } = await fetch('/api/create-session').then(r => r.json());
  allsign.modal({ clientSecret: client_secret });
}

// ❌ Incorrecto: pre-crear la session al cargar la página
const session = await fetch('/api/create-session').then(r => r.json());
// ... 20 minutos después ...
allsign.modal({ clientSecret: session.client_secret }); // SESSION_EXPIRED

frame-src https://allsign.io;

script-src 'self' https://js.allsign.io;
frame-src https://allsign.io;

<meta http-equiv="Content-Security-Policy"
  content="frame-src https://allsign.io; script-src 'self' https://js.allsign.io;">

// next.config.js
const securityHeaders = [
  {
    key: 'Content-Security-Policy',
    value: "frame-src https://allsign.io; script-src 'self' https://js.allsign.io;"
  }
];

Sin allowed_origins:

  1. Tu backend crea session → client_secret viaja al browser
  2. Atacante intercepta el client_secret (XSS, proxy, devtools)
  3. Atacante monta el iframe de AllSign en sitio-falso.com
  4. Firmante ve iframe REAL de AllSign dentro de una página falsa
  5. Firma creyendo que está en tu sitio → phishing exitoso

Con allowed_origins: ["https://tu-app.com"]:

  1. Tu backend crea session con allowed_origins
  2. Atacante intercepta el client_secret
  3. Atacante monta el iframe en sitio-falso.com
  4. AllSign detecta que parent_origin es sitio-falso.com
  5. → 403 ORIGIN_NOT_ALLOWED — el iframe no carga

// Backend — al crear la signing session
const response = await fetch('https://api.allsign.io/v2/signing-sessions', {
  method: 'POST',
  headers: {
    'Authorization': 'Bearer allsign_live_sk_xxx',
    'Content-Type': 'application/json',
  },
  body: JSON.stringify({
    document_id: 'doc_xxx',
    signer_email: 'firmante@empresa.com',
    allowed_origins: ['https://tu-app.com', 'https://staging.tu-app.com'],
  }),
});

{
  "error": {
    "code": "ALLOWED_ORIGINS_REQUIRED",
    "type": "bad_request",
    "message": "Casi listo: agrega 'allowed_origins' con el dominio donde montas el iframe...",
    "field": "allowed_origins",
    "example": { "allowed_origins": ["https://app.tuempresa.com"] },
    "documentation_url": "https://developers.allsign.io/embedded/security"
  }
}

// Esto lo hace el SDK automáticamente — no necesitas implementarlo
window.addEventListener('message', (event) => {
  if (event.origin !== 'https://allsign.io') return;
  // Procesar evento...
});

{
  "name": "Contrato de arrendamiento",
  "documents": [{ "base64Content": "...", "fileType": "pdf" }],
  "participants": [{
    "name": "Juan Pérez",
    "email": "juan@empresa.com"
  }],
  "signatureValidation": {
    "autografa": true,
    "document_scan": true,
    "selfie_capture": true,
    "biometric_signature": true
  }
}

Widget se monta
  → Escaneo de INE (OCR + validación)
  → Selfie del firmante
  → Face match biométrico (INE vs selfie)
  → ✅ Identidad verificada
  → Mostrar documento para firma
  → Firma (autógrafa o simple)
  → ✅ Documento firmado con evidencia de identidad

{
  "document_id": "DOC_UUID",
  "signer_email": "juan@empresa.com",
  "otp_mode": "none"
}