Cómo cuidamos tu cuenta

Implementamos WebAuthn / FIDO2 con la extensión PRF activa. La librería server-side es @simplewebauthn/server v13.

El authenticator (Touch ID, Windows Hello, llave hardware, etc.) genera un par de claves asimétricas. La privada nunca abandona el authenticator. Nosotros guardamos en Firestore la clave pública, un signCounter para protección anti-replay (RFC 9527), un prfSalt de 32 bytes, y metadatos de display (label, fechas).

En cada login el authenticator firma un challenge único que verificamos contra esa clave pública. Si tu passkey se compromete (lo cual es extremadamente difícil), la única forma de explotarla es teniendo el authenticator físicamente desbloqueado.

La extensión PRF nos da una segunda función: el authenticator deriva determinísticamente una semilla de 32 bytes a partir del salt que guardamos. Esa semilla se usa para descifrar tus credenciales de Cookidoo (ver siguiente sección). Importante: la semilla nunca sale del navegador.

Cadena criptográfica:

prfOutput      = WebAuthn PRF(credential, prfSalt)        [32 bytes]
K_credential   = HKDF-SHA256(prfOutput, "cookisync.credkey.v1") [32 bytes]
K_master       = random(32)                              [generado una vez]
wrapped        = AES-GCM(K_credential, iv₁, K_master)    [guardado por device]
blob           = AES-GCM(K_master, iv₂, "email\0pass")   [guardado 1 vez]

Envelope encryption: cada passkey tiene su propio wrap de K_master. Agregar un dispositivo no requiere re-cifrar el blob; revocar uno solo borra ese wrap. Si pierdes todas tus passkeys, el blob queda inservible - ni nosotros podemos recuperarlo. El precio de la garantía.

Las credenciales en plano solo viven en memoria del proceso mientras tu sesión está activa, dentro de un Map<sessionToken, {email, password}> que se borra al expirar la sesión, al hacer logout, o cuando el contenedor se reinicia (entonces te vuelves a autenticar con tu passkey, que toma un toque biométrico).

Cloudflare termina TLS 1.3 en el edge con cert universal. La cadena upstream a Google usa TLS 1.3 con cert Let's Encrypt gestionado por Cloud Run y validado por SNI. Cabeceras de seguridad estándar vía helmet: Strict-Transport-Security (HSTS), Content-Security-Policy, X-Content-Type-Options: nosniff, Referrer-Policy: no-referrer, Cross-Origin-*.

El servidor lee la IP real del cliente desde CF-Connecting-IP (o X-Forwarded-For respetando TRUST_PROXY) para que rate limiter y audit log atribuyan eventos al cliente correcto y no al edge de Cloudflare.

La autenticación con clientes MCP usa OAuth 2.1 con PKCE S256 (RFC 7636). Sin secretos compartidos: cualquier cliente público puede registrarse pero solo el que inició el flujo puede canjear el código de autorización por un token.

Cada sesión es una fila en Firestore con un uid, un origin (web o mcp), un oauthClientId opcional, y un expiresAt (12 horas por default). El bearer token usado en las llamadas es el ID del documento; revocar = borrar el documento.

Los endpoints de gestión (GET /auth/sessions, DELETE /auth/sessions/:id, ídem para credentials) filtran por uid, así que aunque alguien adivinara el displayId de la sesión de otra persona no podría revocarla.

El bridge de revocación entre Firestore y memoria: hay un sweep cada 60 segundos que tira en memoria las sesiones cuyo doc ya no existe o cuyo expiresAt ya pasó. Cuando revocas manualmente, también limpiamos el map en el mismo request.

Stack:

• Cloudflare al frente como proxy/WAF/DDoS. Modo SSL "Full (strict)" - valida el cert del origen contra Let's Encrypt. Bot Fight Mode desactivado para no interferir con clientes MCP automatizados.
• Cloud Run (serverless containers) en la región us-east4 con un solo contenedor activo. Auto-escala a cero cuando nadie usa.
• Firestore en modo Native en us-east4, co-localizada con Cloud Run para mantener la latencia interna por debajo de 5 ms (passkeys, blobs cifrados, sesiones, invitaciones, OAuth clients, audit log).
• Cloud Build orquesta el deploy: cada push a main dispara un build de la imagen Docker (Node.js 20 Alpine) y un nuevo revision en Cloud Run.
• Application Default Credentials para que el contenedor acceda a Firestore - sin claves embebidas en el código.