Se completaron todas las medidas pendientes del plan de cumplimiento:

• Fotos de perfil protegidas: las imágenes de perfil de usuarios ahora requieren autenticación para ser accedidas, con soporte transparente para vistas en navegador.
• Cifrado de RUT: el campo RUT de la tabla de clientes se almacena cifrado con AES-256-GCM. Los cuatro registros existentes fueron migrados automáticamente al primer inicio.
• Política de privacidad: disponible en /privacidad, incluyendo base legal, tipos de datos, derechos ARCO y proveedores externos.
• Retención automática de datos: job nocturno (03:00) que elimina los PDFs tributarios adjuntos y anonimiza el campo contacto en OSTs con más de 6 años de antigüedad, conservando el registro técnico. Cumple con el Código Tributario y la Ley 21.719.
• Consulta pública: la URL /consulta redirige al panel de inicio donde los clientes pueden seguir el estado de su equipo con su código.

El formulario de edición de cliente incluye ahora un botón Eliminar cliente, visible únicamente para el rol Administrador. La acción solicita confirmación antes de proceder y queda registrada en la bitácora del sistema.

Se integró el sistema de despachos con la API oficial de Chilexpress, operativo para todas las OSTs y órdenes de envío. El sistema incluye:

• Generación de órdenes desde una OST: desde el detalle de cualquier OST es posible generar una orden de despacho Chilexpress directamente. La OT queda asociada a la OST, el estado cambia a "Despachado" y se registra en la bitácora.
• Órdenes libres: también es posible generar órdenes de despacho independientes, no asociadas a ninguna OST, útil para envíos internos o logística general.
• Cotizador integrado: antes de generar una orden, el sistema permite cotizar el costo del envío según destino, peso y dimensiones, consultando en tiempo real las tarifas de Chilexpress.
• Etiqueta de envío: una vez generada la orden, se puede descargar e imprimir la etiqueta PDF directamente desde el sistema.
• Tracking en tiempo real: cada orden cuenta con un botón de seguimiento que consulta la API de Chilexpress al momento y muestra el historial de eventos del envío.
• Estado del envío con badge de color: la vista de Despachos muestra el estado actual de cada envío (Generado, Recepcionado, En tránsito, En destino, Recibido, Devuelto) con código de colores para identificación rápida.
• Actualización automática de estados: el servidor consulta la API de Chilexpress cada 30 minutos y actualiza los estados en la base de datos sin intervención manual. Los envíos en estado terminal (Recibido o Devuelto) quedan excluidos de las consultas automáticas.
• Resumen de orden: modal con el detalle completo de cada orden (OT, destinatario, dirección, fecha, servicio contratado y estado).

La pantalla de inicio muestra un skeleton animado mientras se carga la OST. Cada equipo ahora se presenta como tarjeta individual con ícono, número de serie en monospace y pastillas de color indicando el tipo de reparación y el estado del diagnóstico (verde: reparado, azul: en revisión, amarillo: pendiente, rojo: sin solución). Se agregó footer con contacto y enlace a política de privacidad. En móvil el card se ancla al fondo de la pantalla y ocupa el ancho completo.

Solicitudes ARCO ahora es exclusivo del rol Administrador. Estado del Servicio (banner de avisos) es accesible y editable por Administrador, Agente Técnico y Gestor Logístico. El rol Agente Técnico ahora puede eliminar imágenes de una OST, además de subirlas.

Se renovó visualmente la pantalla de inicio: nuevo logo con anillo animado, badge de identificación, horario de atención (Lun–Vie 8:00–17:30) y número de contacto directo. Los pasos del stepper de estado ahora muestran una descripción al pasar el cursor. Se agregó un banner de aviso configurable por el administrador (informativo, advertencia o urgente) que aparece en la pantalla de inicio para todos los clientes, con panel de gestión en la sección Administración.

Se implementó el sistema completo de derechos ARCO (Acceso, Rectificación, Cancelación, Oposición) conforme a la Ley 21.719. Los clientes pueden ingresar solicitudes desde el panel de login sin necesidad de cuenta. Cada solicitud genera un código de seguimiento de 6 caracteres (mismo esquema que las OST, con verificación cruzada para evitar colisiones). Los clientes pueden consultar el hilo completo de su solicitud y agregar respuestas usando solo su código. El panel de administración permite filtrar por estado, ver el historial de respuestas (diferenciadas por color según origen) y responder. Cada cambio de estado y respuesta notifica al cliente por correo y queda registrado en la bitácora.

Al guardar cambios en la sección "Editar equipos" de una OST, el campo Diagnóstico técnico se sobreescribía con un valor vacío. El problema estaba en el endpoint de actualización de ítems, que reemplazaba el diagnóstico con null cuando el formulario de edición de equipos no lo incluía. Corregido: ahora se conserva el valor existente si no se envía un nuevo diagnóstico.

Se corrigió la detección automática del número en Nota de Venta y Guía de Despacho. La Nota de Venta ahora extrae el número desde el contenido del PDF. La Guía de Despacho lo toma desde el nombre del archivo en formato GD [XXXX] Cliente.pdf.

Las notificaciones ahora son independientes por usuario. Antes, cuando cualquier usuario marcaba una notificación como leída, quedaba marcada para todos. Ahora cada usuario tiene su propio estado de lectura: marcar una notificación como leída o usar "Marcar todas como leídas" solo afecta la sesión propia, sin alterar lo que ven otros usuarios.

Se incorporaron dos documentos al plan de cumplimiento legal (Leyes 21.719 y 21.663):

• Procedimiento de notificación de brechas (72 h): documento con cronograma legal obligatorio (detección → notificación APDP en ≤ 72 h → aviso a titulares), comandos de contención listos para usar (revocar sesiones, bloquear IP, detener servicio, rotar API key), tabla de umbrales que define qué escenarios obligan a notificar a la autoridad y/o a los titulares, y registro de incidentes con formato de tabla. Revisión anual programada para abril 2027.
• Registro de vulnerabilidades CVE (CVE_TRACKING_reparaciones.xlsx): planilla con 19 vulnerabilidades detectadas (9 alto · 9 moderado · 1 bajo), columnas de seguimiento (ID, paquete, tipo, severidad, CVSS, CWE, rango afectado, advisory, estado, fecha, fix disponible, responsable, notas) y hoja de resumen con tres acciones prioritarias: actualizar axios, migrar xlsx → exceljs, y actualizar sqlite3 a v6.

Ahora es posible iniciar sesión ingresando el nombre de usuario o el correo electrónico asociado a la cuenta.

Al agregar o eliminar un equipo de una OST, el detalle en la bitácora aparecía descompuesto carácter por carácter (0: E · 1: q · 2: u…). El problema era un error en el orden de argumentos al registrar la acción, que hacía que el texto descriptivo se almacenara como dato en lugar del objeto de detalle. Corregido.

Continuación del plan de cumplimiento legal con cuatro nuevos controles:

• Link de activación en creación de usuarios: al crear un nuevo usuario, ya no se envía una contraseña temporal por email. En su lugar se envía un enlace seguro de activación con vigencia de 72 horas, donde el propio usuario elige su contraseña.
• Complejidad mínima de contraseña: el mínimo aumentó de 6 a 8 caracteres y ahora se exige al menos un número. La regla aplica en todos los formularios: activación, recuperación, cambio de contraseña y edición de perfil.
• Mensajes de error internos protegidos: los errores de base de datos ya no se exponen al navegador. Se reemplazaron 67 mensajes internos por una respuesta genérica, mientras el detalle queda registrado en los logs del servidor.
• Logs del servidor protegidos: los archivos de registro del sistema pasaron de permisos 644 (públicos) a 600 (solo lectura del propietario).

En el detalle de una OST, la sección de equipos ahora cuenta con un botón ✏️ Editar equipos que activa un modo de edición completo para toda la tabla a la vez. Desde este modo es posible modificar el tipo de equipo, número de serie, problema, estado, y tiempos de revisión y reparación de todos los equipos simultáneamente, además de agregar nuevos equipos a la OST o eliminar equipos existentes (la OST siempre conserva al menos uno). Los cambios se aplican al presionar Guardar cambios o se descartan con Cancelar.

Se implementaron controles de seguridad en cumplimiento de las Leyes 21.663 y 21.719:

• Documentos protegidos: los PDF de cotizaciones, notas de venta y guías de despacho ahora requieren autenticación para ser accedidos.
• Headers de seguridad HTTP: se activaron cabeceras X-Frame-Options, X-Content-Type-Options, Strict-Transport-Security y Referrer-Policy.
• Límite de intentos de inicio de sesión: máximo 10 intentos cada 15 minutos para prevenir ataques de fuerza bruta.
• Límite en consulta pública: máximo 30 consultas cada 10 minutos en la vista de seguimiento de equipos.
• CORS restringido: la API solo acepta solicitudes desde el dominio oficial del sistema.
• Sesiones con expiración activa: las sesiones ahora se invalidan automáticamente a los 7 días, incluso sin cierre de sesión manual.
• Limpieza de configuración: se eliminaron credenciales de prueba almacenadas en texto plano y se aseguraron los permisos de archivos de configuración sensibles.

En la tabla de Todas las OST, al pasar el cursor sobre los nombres de Cuenta o Campo que estén cortados, ahora se muestra el nombre completo en un tooltip.

Nueva sección exclusiva para Administradores que registra todos los cambios realizados en el sistema: creación y edición de OSTs, cambios de estado, diagnósticos, despachos, clientes, equipos, usuarios y acciones de perfil. Incluye filtros por fecha, usuario y tipo de acción.

Los campos "Seleccionar Cliente" y "Seleccionar Equipo" en el formulario de Nueva OST ahora permiten escribir para filtrar y encontrar rápidamente el ítem deseado.

Se agregó una campanita en el menú lateral que notifica en tiempo real cuando se crea una nueva OST o cuando una OST existente cambia de estado. Las notificaciones se pueden marcar como leídas de forma individual o todas a la vez.

La columna "Última sesión" en la sección de Agentes ahora es exclusiva para usuarios con rol Administrador. Otros roles no verán esta información.

Al descargar un informe PDF desde una OST, el archivo ahora se llama "Informe OST N°X - Nombre del cliente.pdf" en lugar del código genérico anterior.

El sistema ahora está disponible en https://st.cdtec.cl con certificado SSL válido y renovación automática mediante Let's Encrypt.

En el detalle de cada OST se agregó un campo de estado para el diagnóstico (Pendiente / En proceso / Finalizado). Al marcar como Finalizado aparece la sección Resolución con un campo de texto y el tiempo total de reparación.

El historial de actividad en cada OST ahora muestra las últimas 5 entradas por defecto, con opción de expandir para ver el historial completo.