Última actualización: 23 de agosto de 2026.
Validador CFDI procesa comprobantes fiscales digitales, un tipo de información que exige cuidado. Esta página describe cómo protegemos esa información y qué puede verificar usted mismo por su cuenta.
Todo el tráfico hacia validatucxp.com viaja cifrado. No servimos contenido por HTTP: cualquier petición sin cifrar es redirigida automáticamente a HTTPS.
Verificable por usted: ejecute la prueba pública de Qualys SSL Labs sobre nuestro dominio. Al 23 de agosto de 2026 obtuvimos calificación A+ en www.validatucxp.com.
La aplicación envía una política de seguridad de contenido (CSP) estricta que bloquea la ejecución de JavaScript embebido en el HTML y el uso de eval(). Esto elimina la vía más común de los ataques de cross-site scripting.
Complementan la política:
frame-ancestors 'none' — impide que el sitio sea embebido en un iframe ajeno, cerrando ataques de clickjacking.object-src 'none' — bloquea la carga de plug-ins.form-action 'self' — impide que un contenido inyectado redirija el envío de formularios hacia un servidor externo.base-uri 'self', X-Content-Type-Options: nosniff, Referrer-Policy: no-referrer y políticas de aislamiento entre orígenes (COOP y CORP).Verificable por usted: ejecute el escaneo público de Mozilla HTTP Observatory sobre nuestro dominio. Al 23 de agosto de 2026 obtuvimos calificación A+ con 125 puntos sobre 100.
Los formularios públicos y los puntos de carga están sujetos a límites de tasa por dirección IP. Las peticiones que exceden el umbral son rechazadas antes de llegar a la lógica de la aplicación.
El formulario de contacto incorpora además detección de envíos automatizados.
La aplicación mantiene un registro de auditoría de las operaciones relevantes: accesos, cargas de comprobantes, resultados de validación y acciones administrativas. Cada entrada conserva el actor, la acción y la marca de tiempo.
Este registro permite reconstruir qué ocurrió y cuándo, tanto para efectos de control interno como ante un requerimiento de su parte.
Cuando usted invita a un proveedor a subir comprobantes, se genera un enlace con token único para esa carga específica. El proveedor no requiere cuenta ni credenciales, y el enlace no da acceso a ninguna otra información de su organización.
Procesamos los comprobantes fiscales digitales (CFDI) que usted o sus proveedores cargan, junto con los datos de contacto que nos proporciona.
Los CFDI contienen RFC, que en el caso de personas físicas constituye dato personal conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Su tratamiento se rige por nuestro Aviso de Privacidad.
Plazo de conservación: los comprobantes cargados se conservan durante 5 años y posteriormente se eliminan.
La aplicación se ejecuta en Estados Unidos de Norteamérica, con servidores ubicados en Oregon. Realizamos respaldos.
Si usted identifica una vulnerabilidad en Validador CFDI, le pedimos reportarla antes de divulgarla públicamente. Escríbanos a subscripciones@validatucxp.com.
Nos comprometemos a acusar recibo dentro de los siguientes 5 días hábiles y a mantenerle informado del avance. Agradecemos públicamente a quienes reportan de forma responsable, salvo que prefieran permanecer anónimos.
Preferimos ser explícitos sobre nuestros límites actuales:
Si su organización necesita evidencia adicional para completar una evaluación de proveedores, escríbanos y con gusto atendemos su cuestionario.
Para dudas sobre seguridad o privacidad: subscripciones@validatucxp.com
Última actualización: 23 de agosto de 2026.