security: comprehensive security audit and remediation (20 fixes)

CRITICAL fixes:
- Restrict X-View-Tenant impersonation to global admin only (was any admin)
- Add authorization to subscription endpoints (was open to any user)
- Make webhook signature verification mandatory (was skippable)
- Remove databaseName from JWT payload (resolve server-side with cache)
- Reduce body size limit from 1GB to 10MB (50MB for bulk CFDI)
- Restrict .env file permissions to 600

HIGH fixes:
- Add authorization to SAT cron endpoints (global admin only)
- Add Content-Security-Policy and Permissions-Policy headers
- Centralize isGlobalAdmin() utility with caching
- Add rate limiting on auth endpoints (express-rate-limit)
- Require authentication on logout endpoint

MEDIUM fixes:
- Replace Math.random() with crypto.randomBytes for temp passwords
- Remove console.log of temporary passwords in production
- Remove DB credentials from admin notification email
- Add escapeHtml() to email templates (prevent HTML injection)
- Add file size validation on FIEL upload (50KB max)
- Require TLS for SMTP connections
- Normalize email to lowercase before uniqueness check
- Remove hardcoded default for FIEL_ENCRYPTION_KEY

Also includes:
- Complete production deployment documentation
- API reference documentation
- Security audit report with remediation details
- Updated README with v0.5.0 changelog
- New client admin email template
- Utility scripts (create-carlos, test-emails)
- PM2 ecosystem config updates

Co-Authored-By: Claude Opus 4.6 (1M context) <noreply@anthropic.com>

README.md

@@ -4,40 +4,80 @@ Plataforma de análisis financiero y gestión fiscal para empresas mexicanas.
 
 ## Descripción
 
-Horux360 es una aplicación SaaS que permite a las empresas mexicanas:
+Horux360 es una aplicación SaaS multi-tenant que permite a las empresas mexicanas:
 
-- Gestionar sus CFDI (facturas electrónicas)
+- Gestionar sus CFDI (facturas electrónicas) con carga masiva de XML
 - Controlar IVA e ISR automáticamente
+- Sincronizar CFDIs directamente con el SAT usando FIEL
 - Visualizar dashboards financieros en tiempo real
 - Realizar conciliación bancaria
 - Recibir alertas fiscales proactivas
 - Generar reportes y proyecciones financieras
+- Calendario de obligaciones fiscales
 
 ## Stack Tecnológico
 
-- **Frontend:** Next.js 14 + TypeScript + Tailwind CSS
+| Capa | Tecnología |
-- **Backend:** Node.js + Express + TypeScript
+|------|-----------|
-- **Base de datos:** PostgreSQL (multi-tenant por schema)
+| **Frontend** | Next.js 14 + TypeScript + Tailwind CSS + shadcn/ui |
-- **Autenticación:** JWT personalizado
+| **Backend** | Node.js + Express + TypeScript + tsx |
-- **Estado:** Zustand con persistencia
+| **Base de datos** | PostgreSQL 16 (database-per-tenant) |
+| **ORM** | Prisma (central DB) + pg (tenant DBs con raw SQL) |
+| **Autenticación** | JWT (access 15min + refresh 7d) |
+| **Estado** | Zustand con persistencia |
+| **Proceso** | PM2 (fork mode) |
+| **Proxy** | Nginx con SSL (Let's Encrypt) |
+| **Email** | Nodemailer + Gmail Workspace (STARTTLS) |
+| **Pagos** | MercadoPago (suscripciones) |
 
 ## Estructura del Proyecto
 
 ```
 horux360/
 ├── apps/
-│   ├── web/          # Frontend Next.js
+│   ├── web/              # Frontend Next.js 14
-│   └── api/          # Backend Express
+│   │   ├── app/          # Pages (App Router)
+│   │   ├── components/   # Componentes UI
+│   │   ├── lib/api/      # Cliente API
+│   │   └── stores/       # Zustand stores
+│   └── api/              # Backend Express
+│       ├── src/
+│       │   ├── config/       # ENV, database connections
+│       │   ├── controllers/  # Request handlers
+│       │   ├── middlewares/  # Auth, tenant, rate-limit, plan-limits
+│       │   ├── routes/       # Express routes
+│       │   ├── services/     # Business logic
+│       │   │   ├── email/    # Templates + Nodemailer
+│       │   │   ├── payment/  # MercadoPago
+│       │   │   └── sat/      # SAT sync + FIEL crypto
+│       │   ├── utils/        # Helpers (token, password, global-admin)
+│       │   └── jobs/         # SAT sync cron job
+│       └── prisma/           # Schema + migrations
 ├── packages/
-│   └── shared/       # Tipos y utilidades compartidas
+│   └── shared/           # Tipos y constantes compartidas
+├── deploy/
+│   └── nginx/            # Configuración de Nginx
+├── scripts/
+│   └── backup.sh         # Script de backup PostgreSQL
 ├── docs/
-│   └── plans/        # Documentación de diseño
+│   ├── architecture/     # Docs técnicos
-└── docker-compose.yml
+│   ├── security/         # Auditorías de seguridad
+│   └── plans/            # Documentación de diseño
+└── ecosystem.config.js   # PM2 config
 ```
 
-## Documentación
+## Arquitectura Multi-Tenant
 
-- [Documento de Diseño](docs/plans/2026-01-22-horux360-saas-design.md)
+Cada cliente tiene su propia base de datos PostgreSQL, asegurando aislamiento completo de datos:
+
+```
+horux360 (central)          ← Tenants, Users, Subscriptions, RefreshTokens
+horux_<rfc_cliente_1>       ← CFDIs, Alertas, Calendario, IVA del cliente 1
+horux_<rfc_cliente_2>       ← CFDIs, Alertas, Calendario, IVA del cliente 2
+...
+```
+
+El middleware de tenant resuelve la base de datos del cliente desde el `tenantId` del JWT, usando un caché de 5 minutos.
 
 ## Planes
 
@@ -45,50 +85,113 @@ horux360/
 |------|----------|----------|-----------------|
 | Starter | 100 | 1 | Dashboard, IVA/ISR, CFDI básico |
 | Business | 500 | 3 | + Reportes, Alertas, Calendario |
-| Professional | 2,000 | 10 | + Conciliación, Forecasting |
+| Professional | 2,000 | 10 | + Conciliación, Forecasting, SAT Sync |
 | Enterprise | Ilimitado | Ilimitado | + API, Multi-empresa |
 
-## Características Destacadas
+## Seguridad
 
-- **4 Temas visuales:** Light, Vibrant, Corporate, Dark
+- JWT con access token (15min) y refresh token rotation (7d)
-- **Multi-tenant:** Aislamiento de datos por empresa (schema por tenant)
+- bcrypt con 12 salt rounds para passwords
-- **Responsive:** Funciona en desktop y móvil
+- Rate limiting en auth (10 login/15min, 3 register/hora)
-- **Tiempo real:** Dashboards actualizados al instante
+- FIEL encriptada con AES-256-GCM
-- **Carga masiva de XML:** Soporte para carga de hasta 300MB de archivos XML
+- CSP, HSTS, y security headers vía Nginx + Helmet
-- **Selector de período:** Navegación por mes/año en todos los dashboards
+- Admin global verificado por RFC (no solo por rol)
-- **Clasificación automática:** Ingresos/egresos basado en RFC del tenant
+- Webhooks de MercadoPago con verificación HMAC-SHA256
+- Body limits diferenciados (10MB general, 50MB bulk CFDI)
+- TLS obligatorio para SMTP
 
-## Configuración
+Ver [Auditoría de Seguridad](docs/security/2026-03-18-security-audit-remediation.md) para detalles completos.
 
-### Variables de entorno (API)
+## Documentación
+
+| Documento | Descripción |
+|-----------|-------------|
+| [Diseño SaaS](docs/plans/2026-01-22-horux360-saas-design.md) | Arquitectura original y decisiones de diseño |
+| [Deployment](docs/architecture/deployment.md) | Guía completa de despliegue en producción |
+| [API Reference](docs/architecture/api-reference.md) | Referencia de todos los endpoints |
+| [Security Audit](docs/security/2026-03-18-security-audit-remediation.md) | Auditoría de seguridad y remediaciones |
+| [SAT Sync](docs/SAT-SYNC-IMPLEMENTATION.md) | Implementación de sincronización con el SAT |
+
+## Configuración Local
+
+### Requisitos
+- Node.js 20+
+- pnpm 9+
+- PostgreSQL 16
+
+### Setup
+```bash
+# Instalar dependencias
+pnpm install
+
+# Configurar variables de entorno
+cp apps/api/.env.example apps/api/.env
+cp apps/web/.env.example apps/web/.env.local
+
+# Ejecutar migraciones
+cd apps/api && pnpm prisma migrate dev
+
+# Desarrollo
+pnpm dev
+```
+
+### Variables de Entorno (API)
 
 ```env
 NODE_ENV=development
 PORT=4000
 DATABASE_URL="postgresql://user:pass@localhost:5432/horux360"
-JWT_SECRET=your-secret-key
+JWT_SECRET=<min-32-chars>
 JWT_EXPIRES_IN=15m
 JWT_REFRESH_EXPIRES_IN=7d
 CORS_ORIGIN=http://localhost:3000
+FRONTEND_URL=http://localhost:3000
+FIEL_ENCRYPTION_KEY=<min-32-chars>
+FIEL_STORAGE_PATH=/var/horux/fiel
 ```
 
-### Variables de entorno (Web)
+### Variables de Entorno (Web)
-
 ```env
 NEXT_PUBLIC_API_URL=http://localhost:4000/api
 ```
 
-## Demo
+## Roles
 
-Credenciales de demo:
+| Rol | Acceso |
-- **Admin:** admin@demo.com / demo123
+|-----|--------|
-- **Contador:** contador@demo.com / demo123
+| **admin** | Todo dentro de su tenant + invitar usuarios |
-- **Visor:** visor@demo.com / demo123
+| **contador** | CFDI, impuestos, reportes, dashboard |
+| **visor** | Solo lectura |
+| **admin global** | Admin del tenant CAS2408138W2 — gestión de clientes, suscripciones, SAT cron |
+
+## Producción
+
+- **URL:** https://horuxfin.com
+- **Hosting:** Servidor dedicado
+- **SSL:** Let's Encrypt (auto-renewal)
+- **Process:** PM2 con auto-restart
+- **Backups:** Diarios a las 01:00 AM
+
+Ver [Guía de Deployment](docs/architecture/deployment.md) para instrucciones completas.
 
 ## Changelog
 
+### v0.5.0 (2026-03-18)
+- Auditoría de seguridad completa y remediación de 20 vulnerabilidades
+- Rate limiting en endpoints de autenticación
+- Content Security Policy (CSP) y headers de seguridad mejorados
+- `databaseName` removido del JWT (resolución server-side)
+- Restricción de impersonación a admin global únicamente
+- Autorización en endpoints de suscripción y SAT cron
+- Verificación obligatoria de firma en webhooks
+- Body limits reducidos (10MB default, 50MB bulk)
+- Passwords temporales criptográficamente seguros
+- Validación de tamaño en upload de FIEL
+- SMTP con TLS obligatorio
+- Documentación completa de producción
+
 ### v0.4.0 (2026-01-22)
-- Carga masiva de XML CFDI (hasta 300MB)
+- Carga masiva de XML CFDI (hasta 50MB)
 - Selector de período mes/año en dashboards
 - Fix: Persistencia de sesión en refresh de página
 - Fix: Clasificación ingreso/egreso basada en RFC

apps/api/package.json

@@ -46,6 +46,7 @@
     "@types/node-forge": "^1.3.14",
     "@types/nodemailer": "^7.0.11",
     "@types/pg": "^8.18.0",
+    "express-rate-limit": "^8.3.1",
     "prisma": "^5.22.0",
     "tsx": "^4.19.0",
     "typescript": "^5.3.0"

apps/api/scripts/create-carlos.ts

@@ -0,0 +1,26 @@
+import { prisma } from '../src/config/database.js';
+import { hashPassword } from '../src/utils/password.js';
+
+async function main() {
+  const ivan = await prisma.user.findUnique({ where: { email: 'ivan@horuxfin.com' }, include: { tenant: true } });
+  if (!ivan) { console.error('Ivan not found'); process.exit(1); }
+
+  console.log('Tenant:', ivan.tenant.nombre, '(', ivan.tenant.id, ')');
+
+  const existing = await prisma.user.findUnique({ where: { email: 'carlos@horuxfin.com' } });
+  if (existing) { console.log('Carlos already exists:', existing.id); process.exit(0); }
+
+  const hash = await hashPassword('Aasi940812');
+  const carlos = await prisma.user.create({
+    data: {
+      tenantId: ivan.tenantId,
+      email: 'carlos@horuxfin.com',
+      passwordHash: hash,
+      nombre: 'Carlos Horux',
+      role: 'admin',
+    }
+  });
+  console.log('Carlos created:', carlos.id, carlos.email, carlos.role);
+}
+
+main().then(() => process.exit(0)).catch(e => { console.error(e); process.exit(1); });

apps/api/scripts/test-emails.ts

@@ -0,0 +1,96 @@
+import { emailService } from '../src/services/email/email.service.js';
+
+const recipients = ['ivan@horuxfin.com', 'carlos@horuxfin.com'];
+
+async function sendAllSamples() {
+  for (const to of recipients) {
+    console.log(`\n=== Enviando a ${to} ===`);
+
+    // 1. Welcome
+    console.log('1/6 Bienvenida...');
+    await emailService.sendWelcome(to, {
+      nombre: 'Ivan Alcaraz',
+      email: 'ivan@horuxfin.com',
+      tempPassword: 'TempPass123!',
+    });
+
+    // 2. FIEL notification (goes to ADMIN_EMAIL, but we override for test)
+    console.log('2/6 Notificación FIEL...');
+    // Send directly since sendFielNotification goes to admin
+    const { fielNotificationEmail } = await import('../src/services/email/templates/fiel-notification.js');
+    const { createTransport } = await import('nodemailer');
+    const { env } = await import('../src/config/env.js');
+    const transport = createTransport({
+      host: env.SMTP_HOST,
+      port: parseInt(env.SMTP_PORT),
+      secure: false,
+      auth: { user: env.SMTP_USER, pass: env.SMTP_PASS },
+    });
+    const fielHtml = fielNotificationEmail({
+      clienteNombre: 'Consultoria Alcaraz Salazar',
+      clienteRfc: 'CAS200101XXX',
+    });
+    await transport.sendMail({
+      from: env.SMTP_FROM,
+      to,
+      subject: '[Consultoria Alcaraz Salazar] subió su FIEL (MUESTRA)',
+      html: fielHtml,
+    });
+
+    // 3. Payment confirmed
+    console.log('3/6 Pago confirmado...');
+    await emailService.sendPaymentConfirmed(to, {
+      nombre: 'Ivan Alcaraz',
+      amount: 1499,
+      plan: 'Enterprise',
+      date: '16 de marzo de 2026',
+    });
+
+    // 4. Payment failed
+    console.log('4/6 Pago fallido...');
+    const { paymentFailedEmail } = await import('../src/services/email/templates/payment-failed.js');
+    const failedHtml = paymentFailedEmail({
+      nombre: 'Ivan Alcaraz',
+      amount: 1499,
+      plan: 'Enterprise',
+    });
+    await transport.sendMail({
+      from: env.SMTP_FROM,
+      to,
+      subject: 'Problema con tu pago - Horux360 (MUESTRA)',
+      html: failedHtml,
+    });
+
+    // 5. Subscription expiring
+    console.log('5/6 Suscripción por vencer...');
+    await emailService.sendSubscriptionExpiring(to, {
+      nombre: 'Ivan Alcaraz',
+      plan: 'Enterprise',
+      expiresAt: '21 de marzo de 2026',
+    });
+
+    // 6. Subscription cancelled
+    console.log('6/6 Suscripción cancelada...');
+    const { subscriptionCancelledEmail } = await import('../src/services/email/templates/subscription-cancelled.js');
+    const cancelledHtml = subscriptionCancelledEmail({
+      nombre: 'Ivan Alcaraz',
+      plan: 'Enterprise',
+    });
+    await transport.sendMail({
+      from: env.SMTP_FROM,
+      to,
+      subject: 'Suscripción cancelada - Horux360 (MUESTRA)',
+      html: cancelledHtml,
+    });
+
+    console.log(`Listo: 6 correos enviados a ${to}`);
+  }
+
+  console.log('\n=== Todos los correos enviados ===');
+  process.exit(0);
+}
+
+sendAllSamples().catch((err) => {
+  console.error('Error:', err);
+  process.exit(1);
+});

apps/api/src/app.ts

@@ -27,9 +27,9 @@ app.use(cors({
   credentials: true,
 }));
 
-// Body parsing - increased limit for bulk XML uploads (1GB)
+// Body parsing - 10MB default, bulk CFDI route has its own higher limit
-app.use(express.json({ limit: '1gb' }));
+app.use(express.json({ limit: '10mb' }));
-app.use(express.urlencoded({ extended: true, limit: '1gb' }));
+app.use(express.urlencoded({ extended: true, limit: '10mb' }));
 
 // Health check
 app.get('/health', (req, res) => {

apps/api/src/config/env.ts

@@ -15,10 +15,10 @@ const envSchema = z.object({
   CORS_ORIGIN: z.string().default('http://localhost:3000'),
 
   // Frontend URL (for MercadoPago back_url, emails, etc.)
-  FRONTEND_URL: z.string().default('https://horux360.consultoria-as.com'),
+  FRONTEND_URL: z.string().default('https://horuxfin.com'),
 
   // FIEL encryption (separate from JWT to allow independent rotation)
-  FIEL_ENCRYPTION_KEY: z.string().min(32).default('dev-fiel-encryption-key-min-32-chars!!'),
+  FIEL_ENCRYPTION_KEY: z.string().min(32),
   FIEL_STORAGE_PATH: z.string().default('/var/horux/fiel'),
 
   // MercadoPago

apps/api/src/controllers/fiel.controller.ts

@@ -16,6 +16,18 @@ export async function upload(req: Request, res: Response): Promise<void> {
       return;
     }
 
+    // Validate file sizes (typical .cer/.key files are under 10KB, base64 ~33% larger)
+    const MAX_FILE_SIZE = 50_000; // 50KB base64 ≈ ~37KB binary
+    if (cerFile.length > MAX_FILE_SIZE || keyFile.length > MAX_FILE_SIZE) {
+      res.status(400).json({ error: 'Los archivos FIEL son demasiado grandes (máx 50KB)' });
+      return;
+    }
+
+    if (password.length > 256) {
+      res.status(400).json({ error: 'Contraseña FIEL demasiado larga' });
+      return;
+    }
+
     const result = await uploadFiel(tenantId, cerFile, keyFile, password);
 
     if (!result.success) {

apps/api/src/controllers/sat.controller.ts

@@ -7,6 +7,7 @@ import {
 } from '../services/sat/sat.service.js';
 import { getJobInfo, runSatSyncJobManually } from '../jobs/sat-sync.job.js';
 import type { StartSyncRequest } from '@horux/shared';
+import { isGlobalAdmin } from '../utils/global-admin.js';
 
 /**
  * Inicia una sincronización manual
@@ -121,10 +122,14 @@ export async function retry(req: Request, res: Response): Promise<void> {
 }
 
 /**
- * Obtiene información del job programado (solo admin)
+ * Obtiene información del job programado (solo admin global)
  */
 export async function cronInfo(req: Request, res: Response): Promise<void> {
   try {
+    if (!(await isGlobalAdmin(req.user!.tenantId, req.user!.role))) {
+      res.status(403).json({ error: 'Solo el administrador global puede ver info del cron' });
+      return;
+    }
     const info = getJobInfo();
     res.json(info);
   } catch (error: any) {
@@ -134,10 +139,14 @@ export async function cronInfo(req: Request, res: Response): Promise<void> {
 }
 
 /**
- * Ejecuta el job de sincronización manualmente (solo admin)
+ * Ejecuta el job de sincronización manualmente (solo admin global)
  */
 export async function runCron(req: Request, res: Response): Promise<void> {
   try {
+    if (!(await isGlobalAdmin(req.user!.tenantId, req.user!.role))) {
+      res.status(403).json({ error: 'Solo el administrador global puede ejecutar el cron' });
+      return;
+    }
     // Ejecutar en background
     runSatSyncJobManually().catch(err =>
       console.error('[SAT Controller] Error ejecutando cron manual:', err)

apps/api/src/controllers/subscription.controller.ts

@@ -1,8 +1,19 @@
 import type { Request, Response, NextFunction } from 'express';
 import * as subscriptionService from '../services/payment/subscription.service.js';
+import { isGlobalAdmin } from '../utils/global-admin.js';
+
+async function requireGlobalAdmin(req: Request, res: Response): Promise<boolean> {
+  const isAdmin = await isGlobalAdmin(req.user!.tenantId, req.user!.role);
+  if (!isAdmin) {
+    res.status(403).json({ message: 'Solo el administrador global puede gestionar suscripciones' });
+  }
+  return isAdmin;
+}
 
 export async function getSubscription(req: Request, res: Response, next: NextFunction) {
   try {
+    if (!(await requireGlobalAdmin(req, res))) return;
+
     const tenantId = String(req.params.tenantId);
     const subscription = await subscriptionService.getActiveSubscription(tenantId);
     if (!subscription) {
@@ -16,6 +27,8 @@ export async function getSubscription(req: Request, res: Response, next: NextFun
 
 export async function generatePaymentLink(req: Request, res: Response, next: NextFunction) {
   try {
+    if (!(await requireGlobalAdmin(req, res))) return;
+
     const tenantId = String(req.params.tenantId);
     const result = await subscriptionService.generatePaymentLink(tenantId);
     res.json(result);
@@ -26,6 +39,8 @@ export async function generatePaymentLink(req: Request, res: Response, next: Nex
 
 export async function markAsPaid(req: Request, res: Response, next: NextFunction) {
   try {
+    if (!(await requireGlobalAdmin(req, res))) return;
+
     const tenantId = String(req.params.tenantId);
     const { amount } = req.body;
 
@@ -42,6 +57,8 @@ export async function markAsPaid(req: Request, res: Response, next: NextFunction
 
 export async function getPayments(req: Request, res: Response, next: NextFunction) {
   try {
+    if (!(await requireGlobalAdmin(req, res))) return;
+
     const tenantId = String(req.params.tenantId);
     const payments = await subscriptionService.getPaymentHistory(tenantId);
     res.json(payments);

apps/api/src/controllers/usuarios.controller.ts

@@ -1,20 +1,10 @@
 import { Request, Response, NextFunction } from 'express';
 import * as usuariosService from '../services/usuarios.service.js';
 import { AppError } from '../utils/errors.js';
-import { prisma } from '../config/database.js';
+import { isGlobalAdmin as checkGlobalAdmin } from '../utils/global-admin.js';
-
-// RFC del tenant administrador global
-const ADMIN_TENANT_RFC = 'CAS2408138W2';
 
 async function isGlobalAdmin(req: Request): Promise<boolean> {
-  if (req.user!.role !== 'admin') return false;
+  return checkGlobalAdmin(req.user!.tenantId, req.user!.role);
-
-  const tenant = await prisma.tenant.findUnique({
-    where: { id: req.user!.tenantId },
-    select: { rfc: true },
-  });
-
-  return tenant?.rfc === ADMIN_TENANT_RFC;
 }
 
 export async function getUsuarios(req: Request, res: Response, next: NextFunction) {

apps/api/src/controllers/webhook.controller.ts

@@ -9,13 +9,16 @@ export async function handleMercadoPagoWebhook(req: Request, res: Response, next
     const xSignature = req.headers['x-signature'] as string;
     const xRequestId = req.headers['x-request-id'] as string;
 
-    // Verify webhook signature
+    // Verify webhook signature (mandatory)
-    if (xSignature && xRequestId && data?.id) {
+    if (!xSignature || !xRequestId || !data?.id) {
-      const isValid = mpService.verifyWebhookSignature(xSignature, xRequestId, String(data.id));
+      console.warn('[WEBHOOK] Missing signature headers');
-      if (!isValid) {
+      return res.status(401).json({ message: 'Missing signature headers' });
-        console.warn('[WEBHOOK] Invalid MercadoPago signature');
+    }
-        return res.status(401).json({ message: 'Invalid signature' });
+
-      }
+    const isValid = mpService.verifyWebhookSignature(xSignature, xRequestId, String(data.id));
+    if (!isValid) {
+      console.warn('[WEBHOOK] Invalid MercadoPago signature');
+      return res.status(401).json({ message: 'Invalid signature' });
     }
 
     if (type === 'payment') {

apps/api/src/middlewares/plan-limits.middleware.ts

@@ -1,5 +1,6 @@
 import type { Request, Response, NextFunction } from 'express';
 import { prisma } from '../config/database.js';
+import { isGlobalAdmin } from '../utils/global-admin.js';
 
 // Simple in-memory cache with TTL
 const cache = new Map<string, { data: any; expires: number }>();
@@ -24,8 +25,8 @@ export function invalidateTenantCache(tenantId: string) {
 export async function checkPlanLimits(req: Request, res: Response, next: NextFunction) {
   if (!req.user) return next();
 
-  // Admin impersonation bypasses subscription check
+  // Global admin impersonation bypasses subscription check
-  if (req.headers['x-view-tenant'] && req.user.role === 'admin') {
+  if (req.headers['x-view-tenant'] && await isGlobalAdmin(req.user.tenantId, req.user.role)) {
     return next();
   }
 

apps/api/src/middlewares/tenant.middleware.ts

@@ -1,6 +1,7 @@
 import type { Request, Response, NextFunction } from 'express';
 import type { Pool } from 'pg';
 import { prisma, tenantDb } from '../config/database.js';
+import { isGlobalAdmin } from '../utils/global-admin.js';
 
 declare global {
   namespace Express {
@@ -11,6 +12,30 @@ declare global {
   }
 }
 
+// Cache: tenantId -> { databaseName, expires }
+const tenantDbCache = new Map<string, { databaseName: string; expires: number }>();
+const CACHE_TTL = 5 * 60 * 1000; // 5 minutes
+
+async function getTenantDatabaseName(tenantId: string): Promise<string | null> {
+  const cached = tenantDbCache.get(tenantId);
+  if (cached && cached.expires > Date.now()) return cached.databaseName;
+
+  const tenant = await prisma.tenant.findUnique({
+    where: { id: tenantId },
+    select: { databaseName: true },
+  });
+
+  if (tenant) {
+    tenantDbCache.set(tenantId, { databaseName: tenant.databaseName, expires: Date.now() + CACHE_TTL });
+  }
+
+  return tenant?.databaseName ?? null;
+}
+
+export function invalidateTenantDbCache(tenantId: string) {
+  tenantDbCache.delete(tenantId);
+}
+
 export async function tenantMiddleware(req: Request, res: Response, next: NextFunction) {
   try {
     if (!req.user) {
@@ -18,11 +43,15 @@ export async function tenantMiddleware(req: Request, res: Response, next: NextFu
     }
 
     let tenantId = req.user.tenantId;
-    let databaseName = req.user.databaseName;
 
-    // Admin impersonation via X-View-Tenant header
+    // Admin impersonation via X-View-Tenant header (global admin only)
     const viewTenantHeader = req.headers['x-view-tenant'] as string;
-    if (viewTenantHeader && req.user.role === 'admin') {
+    if (viewTenantHeader) {
+      const globalAdmin = await isGlobalAdmin(req.user.tenantId, req.user.role);
+      if (!globalAdmin) {
+        return res.status(403).json({ message: 'No autorizado para ver otros tenants' });
+      }
+
       const viewedTenant = await prisma.tenant.findFirst({
         where: {
           OR: [
@@ -42,8 +71,15 @@ export async function tenantMiddleware(req: Request, res: Response, next: NextFu
       }
 
       tenantId = viewedTenant.id;
-      databaseName = viewedTenant.databaseName;
       req.viewingTenantId = viewedTenant.id;
+      req.tenantPool = tenantDb.getPool(tenantId, viewedTenant.databaseName);
+      return next();
+    }
+
+    // Normal flow: look up databaseName server-side (not from JWT)
+    const databaseName = await getTenantDatabaseName(tenantId);
+    if (!databaseName) {
+      return res.status(404).json({ message: 'Tenant no encontrado' });
     }
 
     req.tenantPool = tenantDb.getPool(tenantId, databaseName);

apps/api/src/routes/auth.routes.ts

@@ -1,13 +1,41 @@
 import { Router, type IRouter } from 'express';
+import rateLimit from 'express-rate-limit';
 import * as authController from '../controllers/auth.controller.js';
 import { authenticate } from '../middlewares/auth.middleware.js';
 
 const router: IRouter = Router();
 
-router.post('/register', authController.register);
+// Rate limiting: 10 login attempts per 15 minutes per IP
-router.post('/login', authController.login);
+const loginLimiter = rateLimit({
-router.post('/refresh', authController.refresh);
+  windowMs: 15 * 60 * 1000,
-router.post('/logout', authController.logout);
+  max: 10,
+  message: { message: 'Demasiados intentos de login. Intenta de nuevo en 15 minutos.' },
+  standardHeaders: true,
+  legacyHeaders: false,
+});
+
+// Rate limiting: 3 registrations per hour per IP
+const registerLimiter = rateLimit({
+  windowMs: 60 * 60 * 1000,
+  max: 3,
+  message: { message: 'Demasiados registros. Intenta de nuevo en 1 hora.' },
+  standardHeaders: true,
+  legacyHeaders: false,
+});
+
+// Rate limiting: 20 refresh attempts per 15 minutes per IP
+const refreshLimiter = rateLimit({
+  windowMs: 15 * 60 * 1000,
+  max: 20,
+  message: { message: 'Demasiadas solicitudes. Intenta de nuevo más tarde.' },
+  standardHeaders: true,
+  legacyHeaders: false,
+});
+
+router.post('/register', registerLimiter, authController.register);
+router.post('/login', loginLimiter, authController.login);
+router.post('/refresh', refreshLimiter, authController.refresh);
+router.post('/logout', authenticate, authController.logout);
 router.get('/me', authenticate, authController.me);
 
 export { router as authRoutes };

apps/api/src/routes/cfdi.routes.ts

@@ -1,4 +1,5 @@
 import { Router, type IRouter } from 'express';
+import express from 'express';
 import { authenticate } from '../middlewares/auth.middleware.js';
 import { tenantMiddleware } from '../middlewares/tenant.middleware.js';
 import { checkPlanLimits, checkCfdiLimit } from '../middlewares/plan-limits.middleware.js';
@@ -17,7 +18,7 @@ router.get('/receptores', cfdiController.getReceptores);
 router.get('/:id', cfdiController.getCfdiById);
 router.get('/:id/xml', cfdiController.getXml);
 router.post('/', checkCfdiLimit, cfdiController.createCfdi);
-router.post('/bulk', checkCfdiLimit, cfdiController.createManyCfdis);
+router.post('/bulk', express.json({ limit: '50mb' }), checkCfdiLimit, cfdiController.createManyCfdis);
 router.delete('/:id', cfdiController.deleteCfdi);
 
 export { router as cfdiRoutes };

apps/api/src/routes/sat.routes.ts

@@ -1,6 +1,6 @@
 import { Router, type IRouter } from 'express';
 import * as satController from '../controllers/sat.controller.js';
-import { authenticate } from '../middlewares/auth.middleware.js';
+import { authenticate, authorize } from '../middlewares/auth.middleware.js';
 
 const router: IRouter = Router();
 
@@ -22,10 +22,8 @@ router.get('/sync/:id', satController.jobDetail);
 // POST /api/sat/sync/:id/retry - Reintentar job fallido
 router.post('/sync/:id/retry', satController.retry);
 
-// GET /api/sat/cron - Información del job programado (admin)
+// Admin-only cron endpoints (global admin verified in controller)
-router.get('/cron', satController.cronInfo);
+router.get('/cron', authorize('admin'), satController.cronInfo);
-
+router.post('/cron/run', authorize('admin'), satController.runCron);
-// POST /api/sat/cron/run - Ejecutar job manualmente (admin)
-router.post('/cron/run', satController.runCron);
 
 export default router;

apps/api/src/routes/subscription.routes.ts

@@ -1,13 +1,14 @@
 import { Router, type IRouter } from 'express';
-import { authenticate } from '../middlewares/auth.middleware.js';
+import { authenticate, authorize } from '../middlewares/auth.middleware.js';
 import * as subscriptionController from '../controllers/subscription.controller.js';
 
 const router: IRouter = Router();
 
-// All endpoints require authentication
+// All endpoints require authentication + admin role
 router.use(authenticate);
+router.use(authorize('admin'));
 
-// Admin subscription management
+// Admin subscription management (global admin verified in controller)
 router.get('/:tenantId', subscriptionController.getSubscription);
 router.post('/:tenantId/generate-link', subscriptionController.generatePaymentLink);
 router.post('/:tenantId/mark-paid', subscriptionController.markAsPaid);

apps/api/src/services/auth.service.ts

@@ -7,7 +7,7 @@ import type { LoginRequest, RegisterRequest, LoginResponse } from '@horux/shared
 
 export async function register(data: RegisterRequest): Promise<LoginResponse> {
   const existingUser = await prisma.user.findUnique({
-    where: { email: data.usuario.email },
+    where: { email: data.usuario.email.toLowerCase() },
   });
 
   if (existingUser) {
@@ -52,7 +52,6 @@ export async function register(data: RegisterRequest): Promise<LoginResponse> {
     email: user.email,
     role: user.role,
     tenantId: tenant.id,
-    databaseName: tenant.databaseName,
   };
 
   const accessToken = generateAccessToken(tokenPayload);
@@ -116,7 +115,6 @@ export async function login(data: LoginRequest): Promise<LoginResponse> {
     email: user.email,
     role: user.role,
     tenantId: user.tenantId,
-    databaseName: user.tenant.databaseName,
   };
 
   const accessToken = generateAccessToken(tokenPayload);
@@ -181,7 +179,6 @@ export async function refreshTokens(token: string): Promise<{ accessToken: strin
       email: user.email,
       role: user.role,
       tenantId: user.tenantId,
-      databaseName: user.tenant.databaseName,
     };
 
     const accessToken = generateAccessToken(newTokenPayload);

apps/api/src/services/email/email.service.ts

@@ -18,7 +18,8 @@ function getTransporter(): Transporter {
     transporter = createTransport({
       host: env.SMTP_HOST,
       port: parseInt(env.SMTP_PORT),
-      secure: false, // STARTTLS
+      secure: false, // Upgrade to TLS via STARTTLS
+      requireTLS: true, // Reject if STARTTLS is not available
       auth: {
         user: env.SMTP_USER,
         pass: env.SMTP_PASS,
@@ -76,4 +77,17 @@ export const emailService = {
     await sendEmail(to, 'Suscripción cancelada - Horux360', subscriptionCancelledEmail(data));
     await sendEmail(env.ADMIN_EMAIL, `Suscripción cancelada: ${data.nombre}`, subscriptionCancelledEmail(data));
   },
+
+  sendNewClientAdmin: async (data: {
+    clienteNombre: string;
+    clienteRfc: string;
+    adminEmail: string;
+    adminNombre: string;
+    tempPassword: string;
+    databaseName: string;
+    plan: string;
+  }) => {
+    const { newClientAdminEmail } = await import('./templates/new-client-admin.js');
+    await sendEmail(env.ADMIN_EMAIL, `Nuevo cliente: ${data.clienteNombre} (${data.clienteRfc})`, newClientAdminEmail(data));
+  },
 };

apps/api/src/services/email/templates/new-client-admin.ts

@@ -0,0 +1,68 @@
+import { baseTemplate } from './base.js';
+
+function escapeHtml(str: string): string {
+  return str.replace(/&/g, '&amp;').replace(/</g, '&lt;').replace(/>/g, '&gt;').replace(/"/g, '&quot;');
+}
+
+export function newClientAdminEmail(data: {
+  clienteNombre: string;
+  clienteRfc: string;
+  adminEmail: string;
+  adminNombre: string;
+  tempPassword: string;
+  databaseName: string;
+  plan: string;
+}): string {
+  return baseTemplate(`
+    <h2 style="color:#1e293b;margin:0 0 16px;">Nuevo Cliente Registrado</h2>
+    <p style="color:#475569;line-height:1.6;margin:0 0 24px;">
+      Se ha dado de alta un nuevo cliente en Horux360. A continuación los detalles:
+    </p>
+
+    <table width="100%" cellpadding="0" cellspacing="0" style="margin-bottom:24px;">
+      <tr>
+        <td colspan="2" style="background-color:#1e293b;color:#ffffff;padding:12px 16px;font-weight:bold;border-radius:6px 6px 0 0;">
+          Datos del Cliente
+        </td>
+      </tr>
+      <tr>
+        <td style="padding:10px 16px;border-bottom:1px solid #e2e8f0;font-weight:bold;color:#475569;width:40%;">Empresa</td>
+        <td style="padding:10px 16px;border-bottom:1px solid #e2e8f0;color:#1e293b;">${escapeHtml(data.clienteNombre)}</td>
+      </tr>
+      <tr>
+        <td style="padding:10px 16px;border-bottom:1px solid #e2e8f0;font-weight:bold;color:#475569;">RFC</td>
+        <td style="padding:10px 16px;border-bottom:1px solid #e2e8f0;color:#1e293b;">${escapeHtml(data.clienteRfc)}</td>
+      </tr>
+      <tr>
+        <td style="padding:10px 16px;border-bottom:1px solid #e2e8f0;font-weight:bold;color:#475569;">Plan</td>
+        <td style="padding:10px 16px;border-bottom:1px solid #e2e8f0;color:#1e293b;">${escapeHtml(data.plan)}</td>
+      </tr>
+    </table>
+
+    <table width="100%" cellpadding="0" cellspacing="0" style="margin-bottom:24px;">
+      <tr>
+        <td colspan="2" style="background-color:#3b82f6;color:#ffffff;padding:12px 16px;font-weight:bold;border-radius:6px 6px 0 0;">
+          Credenciales del Usuario
+        </td>
+      </tr>
+      <tr>
+        <td style="padding:10px 16px;border-bottom:1px solid #e2e8f0;font-weight:bold;color:#475569;width:40%;">Nombre</td>
+        <td style="padding:10px 16px;border-bottom:1px solid #e2e8f0;color:#1e293b;">${escapeHtml(data.adminNombre)}</td>
+      </tr>
+      <tr>
+        <td style="padding:10px 16px;border-bottom:1px solid #e2e8f0;font-weight:bold;color:#475569;">Email</td>
+        <td style="padding:10px 16px;border-bottom:1px solid #e2e8f0;color:#1e293b;">${escapeHtml(data.adminEmail)}</td>
+      </tr>
+      <tr>
+        <td style="padding:10px 16px;border-bottom:1px solid #e2e8f0;font-weight:bold;color:#475569;">Contraseña temporal</td>
+        <td style="padding:10px 16px;border-bottom:1px solid #e2e8f0;">
+          <code style="background-color:#f1f5f9;padding:4px 8px;border-radius:4px;font-size:14px;color:#dc2626;">${escapeHtml(data.tempPassword)}</code>
+        </td>
+      </tr>
+    </table>
+
+    <p style="color:#94a3b8;font-size:12px;margin:0;">
+      Este correo contiene información confidencial. No lo reenvíes ni lo compartas.
+    </p>
+  `);
+}

apps/api/src/services/payment/mercadopago.service.ts

@@ -80,7 +80,10 @@ export function verifyWebhookSignature(
   xRequestId: string,
   dataId: string
 ): boolean {
-  if (!env.MP_WEBHOOK_SECRET) return true; // Skip in dev
+  if (!env.MP_WEBHOOK_SECRET) {
+    console.error('[WEBHOOK] MP_WEBHOOK_SECRET not configured - rejecting webhook');
+    return false;
+  }
 
   // Parse x-signature header: "ts=...,v1=..."
   const parts: Record<string, string> = {};

apps/api/src/services/tenants.service.ts

@@ -91,13 +91,24 @@ export async function createTenant(data: {
     },
   });
 
-  // 5. Send welcome email (non-blocking)
+  // 5. Send welcome email to client (non-blocking)
   emailService.sendWelcome(data.adminEmail, {
     nombre: data.adminNombre,
     email: data.adminEmail,
     tempPassword,
   }).catch(err => console.error('[EMAIL] Welcome email failed:', err));
 
+  // 6. Send new client notification to admin with DB credentials
+  emailService.sendNewClientAdmin({
+    clienteNombre: data.nombre,
+    clienteRfc: data.rfc.toUpperCase(),
+    adminEmail: data.adminEmail,
+    adminNombre: data.adminNombre,
+    tempPassword,
+    databaseName,
+    plan,
+  }).catch(err => console.error('[EMAIL] New client admin email failed:', err));
+
   return { tenant, user, tempPassword };
 }
 

apps/api/src/services/usuarios.service.ts

@@ -1,5 +1,6 @@
 import { prisma } from '../config/database.js';
 import bcrypt from 'bcryptjs';
+import { randomBytes } from 'crypto';
 import type { UserListItem, UserInvite, UserUpdate } from '@horux/shared';
 
 export async function getUsuarios(tenantId: string): Promise<UserListItem[]> {
@@ -37,8 +38,8 @@ export async function inviteUsuario(tenantId: string, data: UserInvite): Promise
     throw new Error('Límite de usuarios alcanzado para este plan');
   }
 
-  // Generate temporary password
+  // Generate cryptographically secure temporary password
-  const tempPassword = Math.random().toString(36).slice(-8);
+  const tempPassword = randomBytes(4).toString('hex');
   const passwordHash = await bcrypt.hash(tempPassword, 12);
 
   const user = await prisma.user.create({
@@ -60,8 +61,7 @@ export async function inviteUsuario(tenantId: string, data: UserInvite): Promise
     },
   });
 
-  // In production, send email with tempPassword
+  // TODO: Send email with tempPassword to the invited user
-  console.log(`Temporary password for ${data.email}: ${tempPassword}`);
 
   return {
     ...user,

apps/api/src/utils/global-admin.ts

@@ -0,0 +1,31 @@
+import { prisma } from '../config/database.js';
+
+const ADMIN_TENANT_RFC = 'CAS2408138W2';
+
+// Cache: tenantId -> { rfc, expires }
+const rfcCache = new Map<string, { rfc: string; expires: number }>();
+const CACHE_TTL = 5 * 60 * 1000; // 5 minutes
+
+/**
+ * Checks if the given user belongs to the global admin tenant (CAS2408138W2).
+ * Uses an in-memory cache to avoid repeated DB lookups.
+ */
+export async function isGlobalAdmin(tenantId: string, role: string): Promise<boolean> {
+  if (role !== 'admin') return false;
+
+  const cached = rfcCache.get(tenantId);
+  if (cached && cached.expires > Date.now()) {
+    return cached.rfc === ADMIN_TENANT_RFC;
+  }
+
+  const tenant = await prisma.tenant.findUnique({
+    where: { id: tenantId },
+    select: { rfc: true },
+  });
+
+  if (tenant) {
+    rfcCache.set(tenantId, { rfc: tenant.rfc, expires: Date.now() + CACHE_TTL });
+  }
+
+  return tenant?.rfc === ADMIN_TENANT_RFC;
+}

deploy/nginx/horux360.conf

@@ -14,17 +14,17 @@ upstream horux_web {
 # Redirect HTTP to HTTPS
 server {
     listen 80;
-    server_name horux360.consultoria-as.com;
+    server_name horuxfin.com;
     return 301 https://$host$request_uri;
 }
 
 server {
     listen 443 ssl http2;
-    server_name horux360.consultoria-as.com;
+    server_name horuxfin.com;
 
     # SSL (managed by Certbot)
-    ssl_certificate /etc/letsencrypt/live/horux360.consultoria-as.com/fullchain.pem;
+    ssl_certificate /etc/letsencrypt/live/horuxfin.com-0001/fullchain.pem;
-    ssl_certificate_key /etc/letsencrypt/live/horux360.consultoria-as.com/privkey.pem;
+    ssl_certificate_key /etc/letsencrypt/live/horuxfin.com-0001/privkey.pem;
     ssl_protocols TLSv1.2 TLSv1.3;
     ssl_prefer_server_ciphers on;
     ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384;
@@ -32,12 +32,13 @@ server {
     # Security headers
     add_header X-Frame-Options "SAMEORIGIN" always;
     add_header X-Content-Type-Options "nosniff" always;
-    add_header X-XSS-Protection "1; mode=block" always;
     add_header Referrer-Policy "strict-origin-when-cross-origin" always;
     add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
+    add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;
+    add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval'; style-src 'self' 'unsafe-inline'; img-src 'self' data: blob:; font-src 'self' data:; connect-src 'self' https://horuxfin.com; frame-ancestors 'self';" always;
 
-    # Max body size for XML uploads
+    # Max body size (50MB for bulk CFDI uploads)
-    client_max_body_size 1G;
+    client_max_body_size 50M;
 
     # Auth endpoints (stricter rate limiting)
     location /api/auth/ {

docs/architecture/api-reference.md

@@ -0,0 +1,323 @@
+# API Reference - Horux360
+
+**Base URL:** `https://horuxfin.com/api`
+
+---
+
+## Autenticación
+
+Todos los endpoints (excepto auth) requieren header:
+```
+Authorization: Bearer <accessToken>
+```
+
+### Rate Limits (por IP)
+| Endpoint | Límite | Ventana |
+|----------|--------|---------|
+| `POST /auth/login` | 10 requests | 15 minutos |
+| `POST /auth/register` | 3 requests | 1 hora |
+| `POST /auth/refresh` | 20 requests | 15 minutos |
+| General `/api/*` | 30 requests/s | burst 50 |
+
+---
+
+## Auth (`/api/auth`)
+
+### `POST /auth/register`
+Registra nueva empresa y usuario admin. Provisiona base de datos dedicada.
+
+**Body:**
+```json
+{
+  "empresa": { "nombre": "Mi Empresa", "rfc": "ABC123456789" },
+  "usuario": { "nombre": "Juan", "email": "juan@empresa.com", "password": "min8chars" }
+}
+```
+
+**Response:** `{ accessToken, refreshToken, user: UserInfo }`
+
+### `POST /auth/login`
+```json
+{ "email": "usuario@empresa.com", "password": "..." }
+```
+**Response:** `{ accessToken, refreshToken, user: UserInfo }`
+
+### `POST /auth/refresh`
+```json
+{ "refreshToken": "..." }
+```
+**Response:** `{ accessToken, refreshToken }`
+
+### `POST /auth/logout` *(requiere auth)*
+```json
+{ "refreshToken": "..." }
+```
+
+### `GET /auth/me` *(requiere auth)*
+**Response:** `UserInfo`
+
+---
+
+## Dashboard (`/api/dashboard`)
+
+### `GET /dashboard/kpis?año=2026&mes=3`
+KPIs principales: ingresos, egresos, utilidad, margen, IVA balance, conteo de CFDIs.
+
+### `GET /dashboard/ingresos-egresos?año=2026`
+Datos mensuales de ingresos/egresos para gráfica anual.
+
+### `GET /dashboard/resumen-fiscal?año=2026&mes=3`
+IVA por pagar, IVA a favor, ISR, declaraciones pendientes, próxima obligación.
+
+### `GET /dashboard/alertas?limit=5`
+Alertas activas no resueltas, ordenadas por prioridad.
+
+---
+
+## CFDI (`/api/cfdi`)
+
+### `GET /cfdi?page=1&limit=20&tipo=ingreso&search=...`
+Lista paginada de CFDIs con filtros.
+
+### `GET /cfdi/resumen`
+Resumen de conteo por tipo y estado.
+
+### `GET /cfdi/emisores`
+Lista de emisores únicos.
+
+### `GET /cfdi/receptores`
+Lista de receptores únicos.
+
+### `GET /cfdi/:id`
+Detalle de un CFDI.
+
+### `GET /cfdi/:id/xml`
+XML original del CFDI.
+
+### `POST /cfdi`
+Crear un CFDI individual. Sujeto a límite de plan.
+
+### `POST /cfdi/bulk`
+Carga masiva de CFDIs. Body limit: 50MB. Sujeto a límite de plan.
+
+### `DELETE /cfdi/:id`
+Eliminar un CFDI.
+
+---
+
+## Impuestos (`/api/impuestos`)
+
+### `GET /impuestos/iva?año=2026`
+Datos mensuales de IVA (trasladado, acreditable, resultado, acumulado).
+
+---
+
+## Alertas (`/api/alertas`)
+
+### `GET /alertas`
+### `POST /alertas`
+### `PUT /alertas/:id`
+### `DELETE /alertas/:id`
+### `PATCH /alertas/:id/read`
+### `PATCH /alertas/:id/resolve`
+
+---
+
+## Calendario (`/api/calendario`)
+
+### `GET /calendario?año=2026&mes=3`
+### `POST /calendario`
+### `PUT /calendario/:id`
+### `DELETE /calendario/:id`
+
+---
+
+## Reportes (`/api/reportes`)
+
+### `GET /reportes/flujo-efectivo?año=2026`
+### `GET /reportes/impuestos?año=2026`
+### `GET /reportes/forecasting?año=2026`
+### `GET /reportes/concentrado?año=2026`
+
+---
+
+## Export (`/api/export`)
+
+### `GET /export/cfdis?format=excel&tipo=ingreso`
+Exporta CFDIs a Excel o CSV.
+
+---
+
+## FIEL (`/api/fiel`)
+
+### `POST /fiel/upload`
+```json
+{
+  "cerFile": "<base64>",
+  "keyFile": "<base64>",
+  "password": "..."
+}
+```
+- Archivos max 50KB cada uno
+- Password max 256 caracteres
+
+### `GET /fiel/status`
+Estado actual de la FIEL configurada.
+
+### `DELETE /fiel`
+Eliminar credenciales FIEL.
+
+---
+
+## SAT Sync (`/api/sat`)
+
+### `POST /sat/sync`
+Iniciar sincronización manual.
+```json
+{ "type": "daily", "dateFrom": "2026-01-01", "dateTo": "2026-01-31" }
+```
+
+### `GET /sat/sync/status`
+Estado actual de sincronización.
+
+### `GET /sat/sync/history?page=1&limit=10`
+Historial de sincronizaciones.
+
+### `GET /sat/sync/:id`
+Detalle de un job de sincronización.
+
+### `POST /sat/sync/:id/retry`
+Reintentar un job fallido.
+
+### `GET /sat/cron` *(admin global)*
+Info del job programado.
+
+### `POST /sat/cron/run` *(admin global)*
+Ejecutar sincronización global manualmente.
+
+---
+
+## Usuarios (`/api/usuarios`)
+
+### `GET /usuarios`
+Usuarios del tenant actual.
+
+### `GET /usuarios/all` *(admin global)*
+Todos los usuarios de todas las empresas.
+
+### `POST /usuarios`
+Invitar usuario (genera password temporal con `crypto.randomBytes`).
+```json
+{ "email": "nuevo@empresa.com", "nombre": "María", "role": "contador" }
+```
+
+### `PUT /usuarios/:id`
+Actualizar usuario (nombre, role, active).
+
+### `DELETE /usuarios/:id`
+
+### `PUT /usuarios/:id/global` *(admin global)*
+Actualizar usuario de cualquier empresa.
+
+### `DELETE /usuarios/:id/global` *(admin global)*
+
+---
+
+## Tenants / Clientes (`/api/tenants`) *(admin global)*
+
+### `GET /tenants`
+Lista de todos los tenants/clientes.
+
+### `POST /tenants`
+Crear nuevo tenant. Provisiona base de datos. Envía email al admin.
+```json
+{
+  "nombre": "Empresa Nueva",
+  "rfc": "ENE123456789",
+  "plan": "business",
+  "adminNombre": "Pedro",
+  "adminEmail": "pedro@nueva.com"
+}
+```
+
+### `PUT /tenants/:id`
+Actualizar tenant (plan, limits, active).
+
+### `DELETE /tenants/:id`
+Soft delete — renombra la base de datos a `*_deleted_*`.
+
+---
+
+## Suscripciones (`/api/subscriptions`) *(admin global)*
+
+### `GET /subscriptions/:tenantId`
+Suscripción activa del tenant.
+
+### `POST /subscriptions/:tenantId/generate-link`
+Generar link de pago MercadoPago.
+
+### `POST /subscriptions/:tenantId/mark-paid`
+Marcar como pagado manualmente.
+```json
+{ "amount": 999 }
+```
+
+### `GET /subscriptions/:tenantId/payments`
+Historial de pagos.
+
+---
+
+## Webhooks (`/api/webhooks`)
+
+### `POST /webhooks/mercadopago`
+Webhook de MercadoPago. Requiere headers:
+- `x-signature`: Firma HMAC-SHA256
+- `x-request-id`: ID del request
+
+---
+
+## Roles y Permisos
+
+| Rol | Descripción | Acceso |
+|-----|-------------|--------|
+| `admin` | Administrador del tenant | Todo dentro de su tenant + invitar usuarios |
+| `contador` | Contador | CFDI, impuestos, reportes, dashboard |
+| `visor` | Solo lectura | Dashboard, CFDI (solo ver), reportes |
+
+### Admin Global
+El admin del tenant con RFC `CAS2408138W2` tiene acceso adicional:
+- Gestión de todos los tenants
+- Suscripciones
+- SAT cron
+- Impersonación via `X-View-Tenant` header
+- Bypass de plan limits al impersonar
+
+---
+
+## Tipos Compartidos (`@horux/shared`)
+
+### UserInfo
+```typescript
+interface UserInfo {
+  id: string;
+  email: string;
+  nombre: string;
+  role: 'admin' | 'contador' | 'visor';
+  tenantId: string;
+  tenantName: string;
+  tenantRfc: string;
+  plan: string;
+}
+```
+
+### JWTPayload
+```typescript
+interface JWTPayload {
+  userId: string;
+  email: string;
+  role: Role;
+  tenantId: string;
+  iat?: number;
+  exp?: number;
+}
+```

docs/architecture/deployment.md

@@ -0,0 +1,250 @@
+# Guía de Despliegue en Producción - Horux360
+
+## Infraestructura
+
+### Servidor
+- **OS:** Ubuntu 24.04 LTS
+- **RAM:** 22GB
+- **CPU:** 8 cores
+- **Dominio:** horuxfin.com (DNS en AWS Route 53)
+- **SSL:** Let's Encrypt (certificado real via DNS challenge)
+- **IP Interna:** 192.168.10.212
+
+### Stack
+| Componente | Tecnología | Puerto |
+|-----------|-----------|--------|
+| Reverse Proxy | Nginx 1.24 | 80/443 |
+| API | Node.js + Express + tsx | 4000 |
+| Frontend | Next.js 14 | 3000 |
+| Base de datos | PostgreSQL 16 | 5432 |
+| Process Manager | PM2 | — |
+
+---
+
+## Arquitectura de Red
+
+```
+Internet
+   │
+   ▼
+Nginx (443/SSL)
+   ├── /api/*          → 127.0.0.1:4000 (horux-api)
+   ├── /api/auth/*     → 127.0.0.1:4000 (rate limit: 5r/s)
+   ├── /api/webhooks/* → 127.0.0.1:4000 (rate limit: 10r/s)
+   ├── /health         → 127.0.0.1:4000
+   └── /*              → 127.0.0.1:3000 (horux-web)
+```
+
+---
+
+## PM2 - Gestión de Procesos
+
+### Configuración (`ecosystem.config.js`)
+
+```javascript
+module.exports = {
+  apps: [
+    {
+      name: 'horux-api',
+      interpreter: 'node',
+      script: '/root/Horux/node_modules/.pnpm/tsx@4.21.0/node_modules/tsx/dist/cli.mjs',
+      args: 'src/index.ts',
+      cwd: '/root/Horux/apps/api',
+      instances: 1,
+      exec_mode: 'fork',
+      autorestart: true,
+      max_memory_restart: '1G',
+      kill_timeout: 5000,
+      listen_timeout: 10000,
+      env: { NODE_ENV: 'production', PORT: 4000 },
+    },
+    {
+      name: 'horux-web',
+      script: 'node_modules/next/dist/bin/next',
+      args: 'start',
+      cwd: '/root/Horux/apps/web',
+      instances: 1,
+      exec_mode: 'fork',
+      autorestart: true,
+      max_memory_restart: '512M',
+      kill_timeout: 5000,
+      env: { NODE_ENV: 'production', PORT: 3000 },
+    },
+  ],
+};
+```
+
+### Notas
+- La API usa `tsx` en lugar de `tsc` compilado porque `@horux/shared` exporta TypeScript raw (ESM) que `dist/` no puede resolver.
+- Next.js usa la ruta directa `node_modules/next/dist/bin/next` porque `node_modules/.bin/next` es un shell script que PM2 no puede ejecutar como script Node.js.
+
+### Comandos Útiles
+```bash
+pm2 restart all           # Reiniciar todo
+pm2 logs horux-api        # Ver logs del API
+pm2 logs horux-web        # Ver logs del frontend
+pm2 monit                 # Monitor en tiempo real
+pm2 save                  # Guardar estado actual
+pm2 startup               # Configurar inicio automático
+```
+
+---
+
+## Nginx
+
+### Archivo: `/etc/nginx/sites-available/horux360.conf`
+
+#### Rate Limiting
+| Zona | Límite | Burst | Uso |
+|------|--------|-------|-----|
+| `auth` | 5r/s | 10 | `/api/auth/*` |
+| `webhook` | 10r/s | 20 | `/api/webhooks/*` |
+| `api` | 30r/s | 50 | `/api/*` (general) |
+
+#### Security Headers
+- `Content-Security-Policy`: Restrictivo (`default-src 'self'`)
+- `Strict-Transport-Security`: 1 año con includeSubDomains
+- `X-Frame-Options`: SAMEORIGIN
+- `X-Content-Type-Options`: nosniff
+- `Permissions-Policy`: camera, microphone, geolocation deshabilitados
+- `Referrer-Policy`: strict-origin-when-cross-origin
+
+#### Body Limits
+- Global: `50M` (Nginx)
+- API default: `10mb` (Express)
+- `/api/cfdi/bulk`: `50mb` (Express route-specific)
+
+### Renovar SSL
+```bash
+certbot renew --dry-run  # Verificar
+certbot renew            # Renovar
+```
+
+---
+
+## PostgreSQL
+
+### Configuración de Rendimiento (`postgresql.conf`)
+| Parámetro | Valor | Descripción |
+|-----------|-------|-------------|
+| `max_connections` | 300 | Para multi-tenant con pools por tenant |
+| `shared_buffers` | 4GB | ~18% de 22GB RAM |
+| `work_mem` | 16MB | Memoria por operación de sort/hash |
+| `effective_cache_size` | 16GB | ~72% de RAM |
+| `maintenance_work_mem` | 512MB | Para VACUUM, CREATE INDEX |
+| `wal_buffers` | 64MB | Write-ahead log buffers |
+
+### Arquitectura Multi-Tenant
+Cada cliente tiene su propia base de datos PostgreSQL:
+```
+horux360              ← Base central (tenants, users, subscriptions)
+horux_cas2408138w2    ← Base del admin global
+horux_<rfc>           ← Base de cada cliente
+```
+
+### Backups
+```bash
+# Cron job: 0 1 * * * /root/Horux/scripts/backup.sh
+# Ubicación: /var/horux/backups/
+# Retención: 7 diarios + 4 semanales
+```
+
+---
+
+## Variables de Entorno
+
+### API (`apps/api/.env`)
+```env
+NODE_ENV=production
+PORT=4000
+DATABASE_URL="postgresql://postgres:<password>@localhost:5432/horux360?schema=public"
+JWT_SECRET=<min 32 chars>
+JWT_EXPIRES_IN=15m
+JWT_REFRESH_EXPIRES_IN=7d
+CORS_ORIGIN=https://horuxfin.com
+FRONTEND_URL=https://horuxfin.com
+FIEL_ENCRYPTION_KEY=<min 32 chars, REQUERIDO>
+FIEL_STORAGE_PATH=/var/horux/fiel
+
+# MercadoPago
+MP_ACCESS_TOKEN=<token>
+MP_WEBHOOK_SECRET=<secret, REQUERIDO para producción>
+
+# SMTP (Google Workspace)
+SMTP_HOST=smtp.gmail.com
+SMTP_PORT=587
+SMTP_USER=ivan@horuxfin.com
+SMTP_PASS=<app-password>
+SMTP_FROM=Horux360 <ivan@horuxfin.com>
+
+# Admin
+ADMIN_EMAIL=carlos@horuxfin.com
+```
+
+### Web (`apps/web/.env.local`)
+```env
+NEXT_PUBLIC_API_URL=https://horuxfin.com/api
+```
+
+---
+
+## Directorios Importantes
+
+```
+/root/Horux/                    ← Código fuente
+/var/horux/fiel/                ← Archivos FIEL encriptados (0700)
+/var/horux/backups/             ← Backups de PostgreSQL
+/etc/nginx/sites-available/     ← Config de Nginx
+/etc/letsencrypt/live/          ← Certificados SSL
+```
+
+---
+
+## Despliegue de Cambios
+
+```bash
+# 1. Pull cambios
+cd /root/Horux
+git pull origin main
+
+# 2. Instalar dependencias
+pnpm install
+
+# 3. Build
+pnpm build
+
+# 4. Reiniciar servicios
+pm2 restart all
+
+# 5. Si hay cambios en nginx:
+cp deploy/nginx/horux360.conf /etc/nginx/sites-available/horux360.conf
+nginx -t && systemctl reload nginx
+```
+
+---
+
+## Troubleshooting
+
+### API no inicia
+```bash
+pm2 logs horux-api --lines 50      # Ver logs de error
+pm2 restart horux-api               # Reiniciar
+```
+
+### Puerto en uso
+```bash
+lsof -i :4000                      # Ver quién usa el puerto
+kill <PID>                          # Matar proceso
+pm2 restart horux-api
+```
+
+### Certificado SSL expirado
+```bash
+certbot renew
+systemctl reload nginx
+```
+
+### Base de datos lenta
+```bash
+sudo -u postgres psql -c "SELECT * FROM pg_stat_activity WHERE state = 'active';"
+```

docs/security/2026-03-18-security-audit-remediation.md

@@ -0,0 +1,143 @@
+# Auditoría de Seguridad y Remediación - Horux360
+
+**Fecha:** 2026-03-18
+**Auditor:** Claude Opus 4.6
+**Alcance:** Plataforma completa (API, Frontend, Infraestructura)
+
+---
+
+## Resumen Ejecutivo
+
+Se realizó una auditoría de seguridad completa de la plataforma Horux360 antes de abrirla a clientes. Se identificaron **6 vulnerabilidades críticas, 9 altas, 10 medias y 7 bajas**. Se corrigieron **20 vulnerabilidades** (todas las críticas, altas y medias de código).
+
+## Vulnerabilidades Corregidas
+
+### CRÍTICAS (6)
+
+#### C1. Impersonación de Tenant sin Restricción
+- **Archivo:** `tenant.middleware.ts`, `plan-limits.middleware.ts`
+- **Problema:** Cualquier usuario con `role === 'admin'` (incluidos los admins de clientes) podía usar el header `X-View-Tenant` para acceder a los datos de CUALQUIER otro tenant.
+- **Fix:** Se creó `utils/global-admin.ts` con función `isGlobalAdmin()` que verifica que el tenant del usuario solicitante tenga el RFC del admin global (`CAS2408138W2`). Se aplicó en `tenant.middleware.ts` y `plan-limits.middleware.ts`.
+- **Impacto:** Rompía completamente el aislamiento multi-tenant.
+
+#### C2. Endpoints de Suscripción sin Autorización (IDOR)
+- **Archivo:** `subscription.routes.ts`, `subscription.controller.ts`
+- **Problema:** Cualquier usuario autenticado podía llamar `POST /api/subscriptions/:tenantId/mark-paid` para marcar cualquier tenant como pagado.
+- **Fix:** Se agregó `authorize('admin')` en las rutas y verificación `isGlobalAdmin()` en cada método del controlador. Doble capa de protección.
+- **Impacto:** Bypass total de pagos.
+
+#### C3. Bypass de Verificación de Webhook de MercadoPago
+- **Archivo:** `webhook.controller.ts`, `mercadopago.service.ts`
+- **Problema:** (1) Si faltaba el header `x-signature`, la verificación se saltaba completamente. (2) Si `MP_WEBHOOK_SECRET` no estaba configurado, la función retornaba `true` siempre.
+- **Fix:** Ahora es obligatorio que los headers `x-signature`, `x-request-id` y `data.id` estén presentes; de lo contrario se rechaza con 401. Si `MP_WEBHOOK_SECRET` no está configurado, se rechaza el webhook.
+- **Impacto:** Un atacante podía forjar webhooks para activar suscripciones gratis.
+
+#### C4. `databaseName` Expuesto en JWT
+- **Archivo:** `auth.service.ts`, `packages/shared/src/types/auth.ts`, `tenant.middleware.ts`
+- **Problema:** El nombre interno de la base de datos PostgreSQL se incluía en el JWT (base64, visible para cualquier usuario).
+- **Fix:** Se eliminó `databaseName` del payload JWT y del tipo `JWTPayload`. El tenant middleware ahora resuelve el `databaseName` server-side usando `tenantId` con caché de 5 minutos.
+- **Impacto:** Fuga de información de infraestructura interna.
+
+#### C5. Body Size Limit de 1GB
+- **Archivo:** `app.ts`, `cfdi.routes.ts`, `deploy/nginx/horux360.conf`
+- **Problema:** Express y Nginx aceptaban payloads de hasta 1GB, permitiendo DoS por agotamiento de memoria.
+- **Fix:** Límite global reducido a `10mb`. Ruta `/api/cfdi/bulk` tiene límite específico de `50mb`. Nginx actualizado a `50M`.
+- **Impacto:** Un solo request malicioso podía crashear el servidor.
+
+#### C6. Archivo `.env` con Permisos 644
+- **Archivo:** `apps/api/.env`
+- **Problema:** El archivo `.env` era legible por cualquier usuario del sistema.
+- **Fix:** `chmod 600` — solo legible por el propietario (root).
+
+### ALTAS (5)
+
+#### H1. SAT Cron Endpoints sin Autorización
+- **Archivo:** `sat.routes.ts`, `sat.controller.ts`
+- **Problema:** Cualquier usuario autenticado podía ejecutar el cron global de sincronización SAT.
+- **Fix:** Se agregó `authorize('admin')` en rutas y `isGlobalAdmin()` en el controlador.
+
+#### H2. Sin Content Security Policy (CSP)
+- **Archivo:** `deploy/nginx/horux360.conf`
+- **Problema:** Sin CSP, no había protección del navegador contra XSS.
+- **Fix:** Se agregó CSP header completo. Se removió `X-XSS-Protection` (deprecado). Se agregó `Permissions-Policy`.
+
+#### H3. Tenant CRUD con Admin Genérico
+- **Archivo:** `usuarios.controller.ts`
+- **Problema:** El check `isGlobalAdmin()` estaba duplicado y no centralizado.
+- **Fix:** Se centralizó en `utils/global-admin.ts` con caché para evitar queries repetidos.
+
+#### H4. Sin Rate Limiting en Auth
+- **Archivo:** `auth.routes.ts`
+- **Problema:** Sin límite de intentos en login/register/refresh.
+- **Fix:** `express-rate-limit` instalado con: login 10/15min, register 3/hora, refresh 20/15min por IP.
+
+#### H5. Logout Público
+- **Archivo:** `auth.routes.ts`
+- **Problema:** El endpoint `/auth/logout` no requería autenticación.
+- **Fix:** Se agregó `authenticate` middleware.
+
+### MEDIAS (9)
+
+| # | Problema | Fix |
+|---|---------|-----|
+| M1 | Contraseñas temporales con `Math.random()` | Cambiado a `crypto.randomBytes(4).toString('hex')` |
+| M2 | Contraseñas temporales logueadas a console | Removido `console.log` |
+| M3 | Credenciales de BD enviadas por email | Removida sección de conexión DB del template de email |
+| M4 | HTML injection en templates de email | Agregado `escapeHtml()` en todos los valores interpolados |
+| M5 | Sin validación de tamaño en upload de FIEL | Límite de 50KB por archivo, 256 chars para password |
+| M6 | SMTP sin requerir TLS | Agregado `requireTLS: true` en config de Nodemailer |
+| M7 | Email no normalizado en registro | `toLowerCase()` aplicado antes del check de duplicados |
+| M8 | FIEL_ENCRYPTION_KEY con default hardcoded | Removido `.default()`, ahora es requerido |
+| M9 | Plan limits bypass con X-View-Tenant | Mismo fix que C1, verificación `isGlobalAdmin()` |
+
+## Vulnerabilidades Pendientes (Infraestructura)
+
+Estas requieren cambios de infraestructura que no son código:
+
+| # | Severidad | Problema | Recomendación |
+|---|-----------|---------|---------------|
+| P1 | ALTA | App corre como root | Crear usuario `horux` dedicado |
+| P2 | MEDIA | PostgreSQL usa superuser | Crear usuario `horux_app` con permisos mínimos |
+| P3 | MEDIA | Backups sin encriptar ni offsite | Agregar GPG + sync a S3 |
+| P4 | MEDIA | Sin lockout de cuenta | Agregar contador de intentos fallidos (requiere migración DB) |
+| P5 | BAJA | Tokens JWT en localStorage | Migrar a HttpOnly cookies (requiere cambios frontend + API) |
+| P6 | BAJA | Mismo JWT secret para access y refresh | Agregar `JWT_REFRESH_SECRET` |
+
+## Archivos Modificados
+
+### Nuevos
+- `apps/api/src/utils/global-admin.ts` — Utilidad centralizada para verificar admin global con caché
+
+### Modificados (Seguridad)
+- `apps/api/src/middlewares/tenant.middleware.ts` — Resolución de databaseName server-side + global admin check
+- `apps/api/src/middlewares/plan-limits.middleware.ts` — Global admin check para bypass
+- `apps/api/src/controllers/subscription.controller.ts` — Global admin authorization
+- `apps/api/src/controllers/webhook.controller.ts` — Verificación de firma obligatoria
+- `apps/api/src/controllers/sat.controller.ts` — Global admin check en cron endpoints
+- `apps/api/src/controllers/usuarios.controller.ts` — Uso de utilidad centralizada
+- `apps/api/src/controllers/fiel.controller.ts` — Validación de tamaño de archivos
+- `apps/api/src/routes/auth.routes.ts` — Rate limiting + logout autenticado
+- `apps/api/src/routes/subscription.routes.ts` — authorize('admin') middleware
+- `apps/api/src/routes/sat.routes.ts` — authorize('admin') en cron endpoints
+- `apps/api/src/routes/cfdi.routes.ts` — Límite de 50MB específico para bulk
+- `apps/api/src/services/auth.service.ts` — databaseName removido de JWT, email normalizado
+- `apps/api/src/services/usuarios.service.ts` — randomBytes + sin console.log
+- `apps/api/src/services/email/email.service.ts` — requireTLS
+- `apps/api/src/services/email/templates/new-client-admin.ts` — Sin DB credentials, con escapeHtml
+- `apps/api/src/services/payment/mercadopago.service.ts` — Rechazar si no hay secret
+- `apps/api/src/config/env.ts` — FIEL_ENCRYPTION_KEY requerido
+- `apps/api/src/app.ts` — Body limit 10MB
+- `packages/shared/src/types/auth.ts` — databaseName removido de JWTPayload
+- `deploy/nginx/horux360.conf` — CSP, Permissions-Policy, body 50M
+
+## Prácticas Positivas Encontradas
+
+- bcrypt con 12 salt rounds
+- HTTPS con HSTS, TLS 1.2/1.3
+- Helmet.js activo
+- SQL parameterizado en todas las queries raw (Prisma ORM)
+- FIEL encriptado con AES-256-GCM
+- Refresh token rotation implementada
+- Base de datos por tenant (aislamiento a nivel DB)
+- PostgreSQL solo escucha en localhost
+- `.env` en `.gitignore` y nunca commiteado

ecosystem.config.js

@@ -2,10 +2,12 @@ module.exports = {
   apps: [
     {
       name: 'horux-api',
-      script: 'dist/index.js',
+      interpreter: 'node',
+      script: '/root/Horux/node_modules/.pnpm/tsx@4.21.0/node_modules/tsx/dist/cli.mjs',
+      args: 'src/index.ts',
       cwd: '/root/Horux/apps/api',
-      instances: 2,
+      instances: 1,
-      exec_mode: 'cluster',
+      exec_mode: 'fork',
       autorestart: true,
       max_memory_restart: '1G',
       kill_timeout: 5000,
@@ -17,7 +19,7 @@ module.exports = {
     },
     {
       name: 'horux-web',
-      script: 'node_modules/.bin/next',
+      script: 'node_modules/next/dist/bin/next',
       args: 'start',
       cwd: '/root/Horux/apps/web',
       instances: 1,

packages/shared/src/types/auth.ts

@@ -37,7 +37,6 @@ export interface JWTPayload {
   email: string;
   role: Role;
   tenantId: string;
-  databaseName: string;
   iat?: number;
   exp?: number;
 }

pnpm-lock.yaml

@@ -111,6 +111,9 @@ importers:
       '@types/pg':
         specifier: ^8.18.0
         version: 8.18.0
+      express-rate-limit:
+        specifier: ^8.3.1
+        version: 8.3.1(express@4.22.1)
       prisma:
         specifier: ^5.22.0
         version: 5.22.0
@@ -1557,6 +1560,12 @@ packages:
     resolution: {integrity: sha512-XctvKaEMaj1Ii9oDOqbW/6e1gXknSY4g/aLCDicOXqBE4M0nRWkUu0PTp++UPNzoFY12BNHMfs/VadKIS6llvg==}
     engines: {node: '>=8.3.0'}
 
+  express-rate-limit@8.3.1:
+    resolution: {integrity: sha512-D1dKN+cmyPWuvB+G2SREQDzPY1agpBIcTa9sJxOPMCNeH3gwzhqJRDWCXW3gg0y//+LQ/8j52JbMROWyrKdMdw==}
+    engines: {node: '>= 16'}
+    peerDependencies:
+      express: '>= 4.11'
+
   express@4.22.1:
     resolution: {integrity: sha512-F2X8g9P1X7uCPZMA3MVf9wcTqlyNp7IhH5qPCI0izhaOIYXaW9L535tGA3qmjRzpH+bZczqq7hVKxTR4NWnu+g==}
     engines: {node: '>= 0.10.0'}
@@ -1738,6 +1747,10 @@ packages:
   iobuffer@5.4.0:
     resolution: {integrity: sha512-DRebOWuqDvxunfkNJAlc3IzWIPD5xVxwUNbHr7xKB8E6aLJxIPfNX3CoMJghcFjpv6RWQsrcJbghtEwSPoJqMA==}
 
+  ip-address@10.1.0:
+    resolution: {integrity: sha512-XXADHxXmvT9+CRxhXg56LJovE+bmWnEWB78LB83VZTprKTmaC5QfruXocxzTZ2Kl0DNwKuBdlIhjL8LeY8Sf8Q==}
+    engines: {node: '>= 12'}
+
   ipaddr.js@1.9.1:
     resolution: {integrity: sha512-0KI/607xoxSToH7GjN1FfSbLoU0+btTicjsQSWQlh/hZykN8KpmMf7uYwPW3R+akZ6R/w18ZlXSHBYXiYUPO3g==}
     engines: {node: '>= 0.10'}
@@ -3894,6 +3907,11 @@ snapshots:
       unzipper: 0.10.14
       uuid: 8.3.2
 
+  express-rate-limit@8.3.1(express@4.22.1):
+    dependencies:
+      express: 4.22.1
+      ip-address: 10.1.0
+
   express@4.22.1:
     dependencies:
       accepts: 1.3.8
@@ -4112,6 +4130,8 @@ snapshots:
 
   iobuffer@5.4.0: {}
 
+  ip-address@10.1.0: {}
+
   ipaddr.js@1.9.1: {}
 
   is-binary-path@2.1.0: