Agosto fue un mes de conectar y de poner límites. Las conversaciones de soporte quedaron completas, así que la respuesta por correo de quien abre un ticket aparece ahora en el hilo en lugar de quedarse en un correo vinculado en otro sitio, y los tickets que esperan a tu equipo destacan en el tablero. El control de la cuenta se volvió real, con administradores que puedes nombrar y una propiedad que puedes transferir. Un asistente de IA conectado ya puede crear por su cuenta un conjunto completo y vinculado de registros de control de calidad. Y publicamos nuestra lista de seguridad más larga hasta ahora, con el requisito de suscripción y una serie de límites de plataforma. Aquí va el repaso completo.
Conversaciones de tickets y visibilidad en el tablero
Las respuestas por correo de quien abre un ticket aparecen ahora directamente en la conversación. Una nueva acción de flujo de trabajo, Añadir correo a la conversación, agrega la respuesta entrante al hilo del ticket al que pertenece, así lees lo que se dijo en orden junto a tus propias respuestas en lugar de abrir un correo vinculado para encontrarlo. Añade la acción a un flujo de correo después de Extraer referencias de ticket, y no necesita configuración propia.
Cada entrada se atribuye a quien la envió, así que el hilo muestra su nombre en lugar de Sistema, y se crea un contacto automáticamente la primera vez que escribe una dirección desconocida. Procesar el mismo correo dos veces nunca duplica una entrada. Una respuesta entrante no cumple el objetivo de primera respuesta de tu SLA, porque quien abre el ticket no es un agente respondiendo, y no cambia el estado del ticket. La gestión de las respuestas sigue siendo tuya, definida mediante flujos de trabajo.
Los tickets que esperan a tu equipo destacan ahora en el tablero Kanban. Cuando quien abrió el ticket responde, la tarjeta se marca con un acento y una etiqueta de respuesta recibida que indica cuánto lleva esperando, así una espera de dos horas se ve distinta de una de dos días. Esas tarjetas flotan a lo alto de su columna, lo que hace difícil pasar por alto una respuesta pendiente al revisar el tablero, y tu orden elegido sigue aplicándose dentro de cada grupo, así que flotar nunca anula cómo has ordenado una columna.
Un nuevo filtro Esperando respuesta reduce el tablero a lo que espera a tu equipo o a quien abrió el ticket, y un orden por Última respuesta ordena los tickets por la actividad más reciente de la conversación. Ambos están disponibles también en la lista de tickets y en sus exportaciones. Las notas internas no cuentan como responder, así que añadir una nota deja el ticket marcado como pendiente de respuesta, mientras que las respuestas enviadas por automatización, como una respuesta predefinida desde un flujo de trabajo, sí cuentan. Los tickets existentes se incluyeron, así que el tablero refleja el estado real de la conversación desde el primer momento.
El formato se mantiene en la mesa de ayuda
Crear un ticket a partir de un correo mantiene ahora el formato del correo. Los encabezados, las listas, la negrita, los enlaces y las imágenes llegaban antes como texto plano. Crear una incidencia a partir de un ticket conserva el formato de la descripción del ticket de la misma manera. Los dos campos de descripción son ahora editores de texto enriquecido completos, con la barra de herramientas, tablas, la biblioteca multimedia, subida de imágenes arrastrando o pegando, y asistencia de IA, y los dos diálogos son más anchos para que la barra de herramientas quepa con holgura. Nada cambia en los tickets o las incidencias existentes.
Administradores y propiedad de la cuenta
Los propietarios y los administradores pueden ahora conceder y retirar el rol Admin desde el diálogo de roles en Usuarios de la cuenta, que antes bloqueaba todos los roles del sistema. El rol Basic sigue fijo, porque cada miembro lo tiene automáticamente. Una cuenta conserva siempre un administrador, así que retirar el rol Admin al último administrador que queda se rechaza. Puedes renunciar al tuyo mientras quede otro administrador, y se te avisa antes de que no podrás restaurarlo por tu cuenta.
El propietario de la cuenta puede transferir la propiedad a otro miembro desde Usuarios de la cuenta, confirmando primero su identidad. El nuevo propietario recibe también el rol Admin, y solo esa persona puede devolverla. Una cuenta tampoco puede quedarse sin propietario: quien es propietario de una cuenta no puede eliminarse ni desvincularse de ella hasta que la propiedad se haya transferido a otra persona. Cuando el propietario de una cuenta elimina su cuenta y no queda ningún otro miembro, la cuenta se desactiva y se retiran las invitaciones pendientes, en lugar de quedarse activa y vacía.
Retirar el rol a alguien reduce de inmediato el alcance de todos los tokens de API y de MCP que haya creado, porque los permisos del token se comprueban contra lo que su titular tiene ahora y no contra lo que tenía cuando lo creó.
Un conjunto completo de registros de QA por MCP
Un asistente de IA conectado ya puede crear por su cuenta un conjunto completo de registros de control de calidad. Antes podía crear un caso de prueba pero no darle pasos, crear una historia de usuario pero no adjuntarle criterios de aceptación, y crear un ciclo de pruebas pero no poner nada en él, así que todo registro creado así había que terminarlo a mano en la consola.
Los pasos de prueba se pueden ahora listar, añadir, editar, reordenar, duplicar y eliminar, y un caso de prueba se puede crear con todos sus pasos en una sola petición. Los criterios de aceptación se pueden aportar al crear o actualizar una historia de usuario, y cada criterio vuelve con su propio identificador y su cobertura, así que un asistente puede vincular una prueba y luego confirmar que el vínculo surtió efecto. Las pruebas se pueden vincular a una historia de usuario o a un criterio de aceptación concreto, en las dos direcciones. Vincular al criterio en lugar de a la historia es lo que hace visible la cobertura parcial en la matriz de trazabilidad, y es la práctica que recomendamos.
Los ciclos ya se pueden poblar. Añadir casos de prueba crea las ejecuciones, un ciclo se puede clonar y su progreso se puede consultar. Cada ejecución admite un entorno y una prioridad, resultados de Aprobado, Fallido y Bloqueado para cada paso, comentarios y vínculos a los defectos que haya descubierto. Añadir casos de prueba a un ciclo admite un entorno opcional que se aplica a todas las ejecuciones que crea, y funciona igual a través de la API que por MCP, así que un ciclo ya no hay que montarlo ejecución por ejecución.
Las carpetas de casos de prueba y las de ciclos de prueba se pueden ahora consultar como árbol, crear, renombrar, mover y eliminar, así que los registros creados de este modo se pueden archivar en lugar de acumularse sin clasificar. Eliminar una carpeta que todavía contiene registros o subcarpetas se rechaza salvo que lo pidas de forma explícita, y cuando lo haces los registros pasan al nivel superior en lugar de eliminarse con ella.
Reformatear con IA
Una nueva acción Reformatear en la pestaña Refinar del asistente de escritura con IA ordena la presentación de tu contenido sin cambiar ni una palabra. Divide un muro de texto en párrafos, convierte una sucesión de elementos en una lista de verdad, promueve a encabezado las líneas que funcionan como título de sección y limpia el formato suelto. Todas las demás acciones de refinado cambian tus palabras, ya sea acortando, ampliando o ajustando el tono, así que Reformatear es la que conviene usar después de pegar contenido desde otro sitio. Está disponible donde aparece el panel de asistencia de IA, en inglés, español y alemán.
Quién creó qué
Las notas, las tareas y los contactos registran ahora quién los creó. Las listas de notas y de contactos muestran una columna Creado por, y la exportación CSV de las tres la incluye. Un nuevo filtro Creado por en esas tres listas las reduce a los registros de una persona, con una opción Sistema para todo lo creado por un flujo de trabajo, el programador o a partir de un correo entrante en lugar de por un miembro de tu equipo. Las notas ganaron además eliminación masiva, así que seleccionar varias y quitarlas es una sola acción donde antes cada nota se eliminaba de una en una.
Los registros creados antes de esta versión muestran Sistema como su creador, porque el creador no se registraba entonces. Nada cambia en esos registros y nadie tiene que hacer nada.
El requisito de suscripción
Trabajar en una organización requiere ahora una suscripción activa. Cuando una prueba gratuita termina, o una suscripción cancelada llega al final de su periodo pagado, las peticiones a los registros de esa organización se rechazan hasta que vuelva a suscribirse. Hasta ahora una prueba caducada mantenía el acceso completo de forma indefinida.
No se elimina nada cuando eso ocurre. Tus incidencias, pruebas, documentos e historial quedan exactamente como estaban y vuelven a estar ahí en el momento en que te suscribes. Lo que necesitas para resolverlo, o para irte, sigue abierto: iniciar sesión, las páginas de facturación y tu historial de facturas, cambiar a otra organización a la que pertenezcas, ver y aceptar invitaciones, tu propio perfil y ajustes de seguridad, una exportación completa de datos y eliminar la cuenta. Así nadie queda nunca fuera de la única página que devuelve la organización, y ninguna organización queda retenida para poder sacar sus datos. Las otras organizaciones a las que pertenezcas no se ven afectadas, porque el bloqueo se aplica a una organización y nunca a tu usuario.
Un pago fallido que Stripe sigue reintentando no bloquea a nadie. Tu organización sigue funcionando con normalidad durante todo el periodo de gracia, que es la ventana para actualizar la tarjeta, y solo una secuencia de reintentos agotada termina el acceso. Los tokens de API y los clientes MCP siguen la misma regla con un matiz: pueden seguir listando las herramientas disponibles y leer registros, pero cualquier cosa que cree, actualice o elimine se rechaza con una respuesta de pago requerido. Una integración informa así del motivo con claridad en lugar de parecer averiada, y vuelve a escribir en cuanto la suscripción está activa, sin ningún cambio por su parte.
Límites de la plataforma
Varias partes de la plataforma no tenían ningún techo sobre cuánto podía acumular una sola cuenta. Ahora está acotado, y los límites quedan muy por encima de lo que hace cualquier equipo real.
- Usuarios de la cuenta: hay ahora un techo de cuántos usuarios puede tener una cuenta, contando las invitaciones enviadas y aún sin responder. Las cuentas con una suscripción activa tienen un límite alto que ningún equipo real alcanza, porque cada usuario añadido ya se factura. Las cuentas sin ella tienen un límite mucho más bajo, y suscribirse lo eleva de inmediato sin tener que pedir nada. Una cuenta que ya esté por encima de su límite conserva a todos sus miembros y todos sus datos, y solo se le impide añadir más.
- Invitaciones: las invitaciones a la cuenta tienen ahora un límite de frecuencia, por administrador y por cuenta, tanto al enviar una invitación nueva como al reenviar una existente. Esto cierra una vía por la que el sistema de invitaciones podría haberse usado para enviar grandes volúmenes de correo no deseado. Invitar a un ritmo normal no se ve afectado.
- Organizaciones: el número de organizaciones que una persona puede crear está ahora limitado, y crearlas tiene también un límite de frecuencia. Sin esto, el techo de usuarios podría haberse esquivado abriendo otra organización en lugar de llenar la actual.
- Tokens de API: el número de tokens de API activos que una cuenta puede tener está ahora limitado, y los límites de peticiones de MCP se aplican por cuenta además de por token. Antes cada token llevaba su propia asignación, así que tener más tokens elevaba el total que una cuenta podía enviar. Revoca un token que ya no uses para hacer sitio a uno nuevo.
- Frecuencia de peticiones: toda la API queda ahora tras un límite general de peticiones por minuto, aplicado por usuario con sesión iniciada y no por ubicación, así que la actividad de nadie puede desplazar a la de un compañero. Las peticiones que crean, editan o eliminan llevan sus propios límites por encima de ese, por usuario y por cuenta, porque el límite general se dimensionó para el volumen de lectura de la consola. La lectura no se ve afectada, la consola de administración y la aplicación móvil no se acercan a ninguno de los dos límites, y los webhooks entrantes de Stripe, Google Calendar y tus propias integraciones quedan intactos.
- Calendarios: hay ahora un techo del número de calendarios personales que puedes tener en una organización, y un límite de la rapidez con la que se pueden crear calendarios y eventos. El calendario de tu cuenta y los calendarios que conectes desde Google no cuentan para ese techo. Antes una sola cuenta podía acumular calendarios suficientes para que su propia barra lateral de calendario tardara en cargar.
Política de conservación de datos
Ya está disponible en Cumplimiento una Política de conservación y eliminación de datos, que fija una base de siete años para los registros del negocio, con periodos más cortos donde un periodo más corto esté justificado.
Mejoras y correcciones
- Acciones masivas: cuando una acción tiene que aplicarse a cada registro por turno, ya no se detiene en el primer problema ni informa de un único fallo genérico. Continúa con el resto de la selección y te dice cuántos registros se procesaron, y si se detuvo porque se alcanzó un límite indica cuántos quedan para que puedas volver a ejecutarla con el resto. La eliminación masiva de funcionalidades e historias de usuario es ahora una sola petición en lugar de una por registro, lo que la hace bastante más rápida en una selección grande.
- Correo sin verificar: si el correo de verificación nunca llegó, o su enlace caducó, iniciar sesión con tu correo y contraseña te lleva ahora a una página que ofrece enviar uno nuevo, con tu dirección ya rellenada, en lugar de dejarte en la pantalla de acceso sin nada que hacer. Se puede pedir un enlace nuevo una vez por minuto y hasta tres veces por hora. Ten en cuenta que restablecer la contraseña no levanta el bloqueo, así que usa el reenvío y no ¿Olvidaste tu contraseña?
- Tablero Kanban: corregidos los tickets que desaparecían del tablero. Solo cargaba los diez tickets más recientes y los repartía entre las seis columnas, así que las tarjetas parecían desvanecerse al azar cada vez que se creaba un ticket o cambiaba el orden. El tablero carga ahora su conjunto completo, y el selector de tamaño de página en la lista de tickets funciona en lugar de devolver siempre diez filas. Los tickets se muestran de treinta en treinta por defecto.
- Búsqueda en notas: corregidas las notas que salían de la búsqueda después de que una automatización las actualizara. Un flujo de trabajo que cambiaba el contenido de una nota no actualizaba el texto usado para buscar y para las exportaciones CSV y PDF, así que una nota podía dejar de coincidir con una búsqueda de palabras que claramente contenía. Las notas afectadas se corrigen al actualizar.
- Formulario de registro: los campos Nombre completo y Nombre de la empresa se detienen ahora en 255 caracteres y te avisan cuando alcanzas el límite, en lugar de aceptar un valor largo y fallar luego con un error genérico al enviar. El mismo límite se aplica cuando te registras desde la aplicación móvil.
- Diálogo de añadir usuario: ahora muestra cuánto de la asignación de usuarios de tu cuenta está en uso, y cuando se alcanza lo indica y explica qué hacer al respecto, en lugar de aceptar el formulario y rechazarlo al enviar.
- Registro con Google: corregido el cierre de sesión al establecer tu primera contraseña después de registrarte con Google. Volver de Google terminaba la sesión que se acababa de crear y te dejaba de nuevo en la pantalla de acceso. Las cuentas creadas registrándose con Google reciben ahora exactamente la misma sesión que cualquier otro inicio de sesión.
- Vincular una cuenta de Google: corregida la vinculación desde Ajustes de seguridad, que volvía a iniciar tu sesión en lugar de vincular nada. Elegir Vincular cuenta de Google te lleva ahora a Google, pregunta qué cuenta quieres adjuntar en lugar de asumir la que ya tienes abierta, e informa del resultado al volver.
- Ciclos de prueba por MCP: corregida la herramienta de ciclos de prueba, que aceptaba tres ajustes y luego los descartaba en silencio. Un entorno, una fecha de inicio prevista y una fecha de fin prevista se aceptaban, la respuesta informaba de éxito y ninguno de los tres se guardaba, así que un ciclo parecía bien configurado cuando no lo estaba. Un ajuste mal nombrado se rechaza ahora con la lista de los que sí se aceptan. El mismo fallo se corrigió en la herramienta de entornos de prueba, que anunciaba un navegador, un sistema operativo y un dispositivo, ninguno de los cuales existe.
Seguridad
Agosto fue nuestro mes de seguridad más intenso hasta ahora. Además de las actualizaciones habituales de los marcos y los componentes de terceros que hay detrás de ISO Mate, esto es lo que cambió.
- Separación de cuentas en la gestión de roles: corregida una escalada de privilegios. Los permisos en las peticiones a nivel de cuenta se comprobaban contra la cuenta que tenías marcada como activa y no contra la cuenta a la que la petición se dirigía realmente, así que alguien que perteneciera a más de una organización podía usar una de ellas para obtener acceso administrativo a otra, incluido concederse su rol Admin. Los permisos se evalúan ahora siempre contra la cuenta nombrada en la petición, y tienes que ser miembro de esa cuenta. Nos lo comunicaron desde fuera con una prueba de concepto clara y reproducible.
- Tipos de objetos personalizados: una parte del área de objetos personalizados tomaba la cuenta con la que trabajar de la petición y no de tu sesión, así que un usuario con sesión iniciada podría haber leído las definiciones de campos de los tipos de objetos personalizados de otra cuenta, o haber añadido un tipo nuevo en otra cuenta. Toda esa área usa ahora tu propia cuenta, tomada de tu sesión, e ignora lo que venga en la petición. Por esta vía no se podía acceder a los datos de las entradas. Nos lo comunicaron desde fuera con una prueba de concepto clara y reproducible.
- Nadie amplía su propia autoridad: asignar un rol, crear un rol o añadir permisos a un rol existente se rechaza cuando concedería un permiso que tú no tienes en esa cuenta. Renombrar o recortar un rol más amplio que tu propio acceso sigue funcionando. Las peticiones dirigidas a una cuenta desactivada se rechazan ahora incluso cuando tu cuenta activa está en orden.
- Cifras del panel: corregido que las cifras del panel se pudieran leer sin el permiso del módulo del que venían. Qué paneles aparecían se decidía solo en el navegador, así que las cifras detrás de un panel las podía leer un miembro sin acceso a esa parte del producto. Cada panel se comprueba ahora en el servidor contra el mismo permiso que rige el módulo. Un miembro que llega a algunos módulos y no a otros sigue obteniendo un panel funcional, con las partes a las que tiene derecho. Nos lo comunicaron desde fuera con una prueba de concepto clara y reproducible.
- Archivos subidos: solo las imágenes y los PDF se muestran ahora en línea. Cualquier otro tipo de archivo se entrega como descarga, y los tipos que un navegador puede ejecutar como página o script, como HTML y JavaScript, ya no se aceptan como adjuntos. Esto cierra un riesgo de scripting entre sitios almacenado y evita que se alojen páginas controladas por un atacante en una dirección de ISO Mate para hacer phishing. La misma protección se aplica en todos los sitios donde ISO Mate sirve un archivo subido, incluidos los archivos subidos antes del cambio, porque la restricción se aplica en el momento de servir el archivo. Si necesitas compartir una página web o un script, inclúyelo dentro de un archivo zip. Comunicado a través de nuestro programa de divulgación de vulnerabilidades.
- Credenciales en los enlaces a archivos: los enlaces a archivos e imágenes ya no llevan tu token de acceso. Antes, abrir la vista previa de un adjunto o mostrar el logotipo de tu cuenta colocaba una credencial en la dirección, donde podía quedar guardada en el historial del navegador y en los registros del servidor. La consola de administración y la aplicación móvil piden ahora el archivo mediante una conexión autenticada, y la posibilidad de iniciar sesión a través de un enlace se ha eliminado por completo de la API.
- Verificación del correo: corregida una omisión al iniciar sesión con Google, que concedía acceso completo a una cuenta cuya dirección de correo nunca se había confirmado. Como Google confirma la dirección antes de pasárnosla, una dirección coincidente cuenta ahora como prueba de que la dirección es tuya. Una cuenta que no ha confirmado su dirección tampoco puede llegar a ninguna parte de la API, así que la verificación se comprueba ahora en cada petición y no solo al iniciar sesión. Cerrar la sesión y consultar tu propio estado de acceso siguen funcionando, así que una cuenta sin confirmar nunca queda varada. Comunicado a través de nuestro programa de divulgación de vulnerabilidades.
- Vínculo con la identidad de Google: iniciar sesión con Google está ahora ligado a la cuenta de Google concreta vinculada a tu perfil. Si se usa otra cuenta de Google, el acceso se rechaza, incluso cuando su dirección coincide con la de tu cuenta de ISO Mate. Antes dos identidades de Google distintas podían llegar a la misma cuenta mientras solo una de ellas figuraba como vinculada. Sustituir la cuenta vinculada exige ahora desvincular primero la actual, lo que pide tu contraseña o una confirmación enviada a tu dirección de correo, y adjuntar una cuenta de Google ocurre ahora únicamente dentro de tu propia sesión. Comunicado a través de nuestro programa de divulgación de vulnerabilidades.
- Cambios de correo y Google: cambiar tu dirección de correo desvincula ahora una cuenta de Google que estuviera vinculada a la dirección que dejas atrás, y cierra tus otras sesiones. Ese vínculo sobrevivía antes al cambio. Importa sobre todo cuando una dirección de trabajo se reasigna a otra persona después de que dejes una organización, porque quien pase a tener esa dirección podría de otro modo seguir accediendo a tu cuenta de ISO Mate. Conservas el acceso con tu contraseña, y puedes volver a vincular Google en cualquier momento.
- Cierre de sesión: cerrar la sesión revoca ahora tu sesión incluso cuando un cliente envía solo su token de acceso de corta duración. El cierre de sesión ya funcionaba correctamente desde la consola de administración y la aplicación móvil, pero a un cliente que enviaba solo el token de acceso se le decía que el cierre había tenido éxito mientras la sesión seguía viva durante los quince minutos de vida de ese token. Esa vía revoca ahora todos los tokens de la sesión y registra el cierre en el registro de auditoría de tu cuenta. Comunicado a través de nuestro programa de divulgación de vulnerabilidades.
- Aislamiento de la ventana: la consola comprueba ahora por sí misma, en las páginas de acceso y de registro, y se niega a iniciar el flujo de acceso con Google cuando la ha abierto una página de otro sitio. La API envía la misma instrucción de aislamiento que la consola, y nuestro sitio web la envía también, así que los tres coinciden. La protección ya no depende de una sola pieza de infraestructura. Además, cada enlace que la consola abre hacia un destino externo se abre de forma que la nueva pestaña no conserve ninguna referencia a la pestaña de ISO Mate que la abrió. A raíz de informes recibidos a través de nuestro programa de divulgación de vulnerabilidades.
- Caché del navegador: las respuestas de la API ya no se escriben en la caché propia del navegador. Ya se mantenían fuera de las cachés compartidas y de proxy, pero un navegador podía guardar una copia en disco, así que los registros con datos personales podían persistir en un dispositivo después de terminar la sesión. Cada respuesta de la API indica ahora que no debe almacenarse, mientras que el almacenamiento deliberado de descargas, exportaciones y el portal público de solicitudes se deja intacto. La consola vuelve además a comprobar que sigues con la sesión iniciada cuando el navegador restaura una página desde su caché de atrás y adelante.
- Cifrado del correo entrante: el correo entrante a isomate.io declara ahora que el cifrado es obligatorio. Una política MTA-STS publicada indica al servidor remitente qué servidores de correo son legítimos y que la conexión debe estar cifrada, así que no se puede engañar a un remitente para que entregue un mensaje sin cifrar o a un servidor sustituido. Junto a ella se publica el informe TLS. La política empieza en modo de prueba, que informa de los problemas sin afectar a la entrega, y pasa a aplicación cuando los informes confirmen que es correcta. Las protecciones del correo que enviamos ya estaban en su sitio, y esta es su contraparte entrante. Comunicado a través de nuestro programa de divulgación de vulnerabilidades.
- Alcances de los tokens: las definiciones de los roles Admin y Basic son ahora de solo lectura a través de la API, igual que ya ocurría en la consola, mientras que asignar esos roles a un usuario es una acción distinta y está permitida. La gestión de facturación ya no se puede adjuntar a un token de API o de MCP. Ya estaba oculta en el selector de alcances, y ahora también se rechaza al crear un token.
- Dependencias: los componentes de terceros de la API y de la consola de administración se han actualizado a sus versiones parcheadas actuales, resolviendo todos los avisos que levantaron nuestros análisis automáticos de dependencias. Los paquetes de ejecución de la consola estaban fijados a versiones exactas, y por eso no podían recoger parches de seguridad por su cuenta, así que ahora siguen las versiones de parche y se han eliminado los paquetes de renderizado en servidor que no se usaban, en lugar de arrastrarlos y volver a analizarlos cada mes.
Qué viene ahora
Hay más en camino en toda la plataforma. Si aún no has probado ISO Mate, regístrate para una prueba gratuita de 14 días en isomate.io. Sin tarjeta de crédito, con acceso completo a todo desde el primer día.
¿Tienes comentarios? Escríbenos a support@isomate.io o usa el portal de comentarios integrado en la plataforma. Tu opinión decide lo que construimos a continuación.