Implementación de medidas de seguridad críticas tras auditoría:
Backend (API & IA):
- Anti-Prompt Injection: Reestructuración de prompts con delimitadores XML y sanitización estricta de inputs (Tag Injection).
- Anti-SSRF: Implementación de servicio `UrlSecurity` para validar URLs y bloquear accesos a IPs internas/privadas en funciones de scraping.
- Moderación: Activación de `SafetySettings` en Gemini API.
- Infraestructura:
- Configuración de Headers de seguridad (HSTS, CSP, NoSniff).
- CORS restrictivo (solo métodos HTTP necesarios).
- Rate Limiting global y política estricta para Login (5 req/min).
- Timeouts en HttpClient para prevenir DoS.
- Auth: Endpoint `setup-admin` restringido exclusivamente a entorno Debug.
Frontend (React):
- Anti-XSS & Tabnabbing: Configuración de esquema estricto en `rehype-sanitize` y forzado de `rel="noopener noreferrer"` en enlaces.
- Validación de longitud de input en cliente.
IA:
- Se realiza afinación de contexto de preguntas.
