Para responder bien a un cliente de marketplace, una herramienta de atención al cliente necesita acceso: a los pedidos y mensajes del marketplace, a tu plataforma de envíos, a tu buzón de correo y quizá a tu facturación. Cada uno de esos accesos es una clave de API o el inicio de sesión de una cuenta, y todos tienen mucho poder. Una clave de API de Mirakl no es de solo lectura. Puede aceptar pedidos, enviarlos y reembolsarlos. Una clave de una plataforma de envíos puede crear etiquetas que se te facturan a ti.

Así que la pregunta no es si un helpdesk puede hacer el trabajo. Es si se le pueden confiar las claves que lo hacen posible. Estas son las diez preguntas que le haríamos a cualquier herramienta, incluida la nuestra, y las respuestas que nos parecen el mínimo.

1. ¿Dónde se guardan las claves, y cómo?

La única respuesta aceptable es: cifradas en reposo, con una clave que la aplicación guarda aparte de la base de datos, de modo que una copia de la base de datos por sí sola no sirva de nada. Pregunta si la clave de cifrado se puede rotar sin parar el servicio, y si se ha hecho alguna vez.

Una herramienta que guarda tu clave de API en texto plano en una columna de configuración es una brecha que solo espera a que se filtre una copia de seguridad.

2. ¿Puedo volver a ver la clave?

No. Una vez introducido, un secreto no debería mostrarse nunca, ni en la interfaz ni en una respuesta de la API. La herramienta puede decirte que la clave existe, cuándo se guardó y si funciona. Si un producto te enseña tu clave de Mirakl en una pantalla de ajustes, es que la guarda de una forma que permite enseñársela a otra persona.

3. ¿Qué pasa si mi cuenta y la de otro cliente comparten base de datos?

Lo más probable es que la compartan: así funciona el SaaS. La pregunta es si el aislamiento está probado. Cada endpoint que toca un caso, una conexión, un ajuste o una exportación tiene que negarse (mejor con un 404 que con un 403, para no confirmar que aquello existe) cuando quien llama no es miembro de ese espacio de trabajo. Pregunta si hay una prueba automática de eso para cada endpoint, y si un endpoint nuevo puede salir a producción sin ella.

4. ¿Dónde está alojado, y quién puede llegar hasta ahí?

Para vendedores europeos que gestionan mensajes de clientes europeos, los datos deberían estar en la UE, y el proveedor debería poder decir exactamente dónde y qué se ejecuta allí. Pregunta si la base de datos es accesible desde internet (no debería serlo), y si el acceso de administración es con clave y queda registrado, o con contraseña.

5. ¿Qué sale del sistema, y hacia quién?

Traducción, resúmenes, borradores: todo lo que lleva IA implica que el texto del cliente viaja a un proveedor de modelos. Pregunta qué proveedores, si conservan lo que se les envía y si puedes apagar la función y que todo se quede en casa. Pregunta lo mismo sobre el envío de correo, el seguimiento de errores y la analítica. La respuesta honesta es una lista, no «nos tomamos la privacidad muy en serio».

6. ¿Quién hizo qué?

Cada acción importante (un reembolso, un cambio de ajustes, un miembro nuevo, una exportación, un espacio de trabajo eliminado) debería quedar en un registro de auditoría con quién la hizo, cuándo y sobre qué. No para aparentar cumplimiento, sino para el día en que el operador pregunte quién reembolsó el pedido 4471 y por qué.

7. ¿Puedo llevarme mis datos, y puedo hacer que desaparezcan?

Exportación en un formato legible por máquina, cuando la pidas, sin abrir un ticket de soporte. Un borrado que borre de verdad: un periodo de gracia es razonable; un «borrado lógico» permanente que lo conserva todo para siempre, no. Las dos cosas deberían estar en el producto, no en un correo al proveedor.

8. ¿Qué se rompe si la herramienta se cae, y cómo se enteraría alguien?

Las herramientas de atención al cliente se sitúan entre tú y un reloj de 24 horas. Si la sincronización se para, los mensajes se acumulan en silencio en el marketplace mientras la bandeja parece tranquila. Pregunta si hay una comprobación de estado que falle de forma ruidosa cuando el proceso en segundo plano se detiene, cuando una conexión no deja de fallar o cuando el correo saliente se queda atascado, y quién la vigila.

9. Copias de seguridad: ¿se ha restaurado alguna vez una?

Las copias de seguridad cada noche son lo mínimo. La pregunta que separa una respuesta real de una diapositiva es: ¿cuándo restaurasteis una por última vez, y cuánto tardó? Una copia que nunca se ha restaurado es una esperanza.

10. ¿Cuál es el acceso mínimo que la herramienta necesita de verdad?

Una buena herramienta pide la clave más limitada que sirva para el trabajo y te dice qué hace con ella. Solo lectura donde basta con leer (una clave de una plataforma de envíos que solo se usa para el seguimiento no debería necesitar crear etiquetas). Donde el acceso de escritura es inevitable, como en los reembolsos de Mirakl, la herramienta debería exigir la confirmación de una persona en cada escritura que mueva dinero, volver a comprobar el estado justo antes de actuar y registrar el resultado. «Solo la usamos para…» es una afirmación; un paso de confirmación y un registro son pruebas.

Dos cosas que te toca hacer a ti

Dale a cada herramienta su propia clave. Los marketplaces te dejan crear varias claves de API, o varios usuarios de API. Una por herramienta significa que puedes revocar una sin romper las demás, y que los registros del propio marketplace te dicen qué herramienta hizo qué.

Rota las claves cuando alguien se va. Si un compañero que deja la empresa llegó a ver una clave, rótala. Las herramientas que guardan bien las claves lo convierten en un trabajo de dos minutos: pegas la clave nueva, se prueba la conexión y listo.

El resumen incómodo

Un helpdesk con las claves de tus marketplaces puede reembolsar todos los pedidos que tienes. La mayoría de los proveedores no tocará nunca ese poder, pero «nunca» es una promesa y las preguntas de arriba son comprobaciones. Quédate con el proveedor que sepa responder a las diez sin consultar nada: es el que ha pensado en el día en que algo sale mal.

Publicamos nuestras propias respuestas en la página de seguridad. Exígenos que las cumplamos.