FOLIO: AUD-20260830-001 Secuencia: Auditoría #001 del día 2026-08-30

📅 2026-08-30 08:30:00 COT 👤 Auditor: Anderson Mares (AMR TECH) ● CERTIFICADO VIGENTE

Certificación de Grado Empresarial

Informe de Auditoría General de Arquitectura, Rendimiento & Seguridad 2026

Evaluación técnica de la plataforma transaccional StreamingApps by AMR TECH alojada en Hostinger Cloud. El sistema cuenta con una arquitectura de persistencia dual resiliente, seguridad blindada con cabeceras estrictas, 2FA con TOTP de 6 dígitos y tiempos de renderizado de catálogo menores a 1 milisegundo.

1. Arquitectura de Almacenamiento Dual Resiliente

El sistema no depende de un único motor de base de datos. Utiliza una estrategia híbrida tolerante a fallos:

Capa de Caché JSON de Alta Velocidad

Ubicada en data/products.json con operaciones bloqueadas atómicamente con LOCK_EX. Permite servir hasta 100 productos en menos de 1ms sin abrir conexiones de red externas.

Capa Relacional MySQL / MariaDB

Gestionada en api.php con transacciones ACID (`beginTransaction`, `FOR UPDATE` y `ON DUPLICATE KEY UPDATE`). Si el servicio MySQL está ausente, el sistema hace fallback automático a JSON sin arrojar nunca un error 503.

2. Blindaje de Seguridad & Autenticación 2FA

Headers HTTPS Estrictos: Implementados en env.php: Strict-Transport-Security (HSTS max-age=31536000), Content-Security-Policy, X-Frame-Options: SAMEORIGIN, X-Content-Type-Options: nosniff y Referrer-Policy.

Autenticación de 2 Factores (TOTP 2FA): El dashboard de administración (dashboard-amrtech.php) cuenta con verificación OTP por correo y compatibilidad con Google Authenticator mediante algoritmo SHA1 RFC 6238 en verifyTOTP().

Rate Limiting Anti Fuerza Bruta: Limitador dinámico en rateLimit() que bloquea abusos tras 5 intentos en 5 minutos en endpoints administrativos.

Bloqueo de Instalador en Producción: install.php valida la IP y rechaza automáticamente ejecuciones no locales con código HTTP 403.

3. Matriz de Endpoints Auditados

Endpoint	Métodos	Propósito	Estado
/api.php?endpoint=products	GET, POST	Sincronización de catálogo y lectura pública	200 OK
/api.php?endpoint=points	GET, POST	Balance de puntos, historial y redención de cuentas	200 OK
/api.php?endpoint=telemetry	GET, POST	Telemetría de clics, links copiados y conversiones	200 OK
/api-domain-checker.php	GET	Disponibilidad en vivo y cálculo de renovación Hostinger	200 OK
/api-dropshipping.php	GET, POST	Catálogo físico con pago contra entrega y cálculo de margen	200 OK