Cifrado AES-256-GCM en reposo
ActivoCada clave de API y cada credencial de base de datos se cifra antes de tocar disco. La clave de cifrado vive en variables de entorno, nunca en la base de datos. Procedimiento de rotación documentado para auditorías de cumplimiento.