Las respuestas que un comprador necesita antes de pagar

simiriki es una plataforma de infraestructura operativa para la seguridad de Microsoft 365, enfocada en empresas mid-market mexicanas. Evalúa configuración insegura con 201 reglas de detección y mantiene un catálogo de 188 playbooks que respaldan rutas de remediación. Solo ejecuta un cambio aprobado cuando la vinculación exacta regla-playbook está certificada; las rutas guiadas o asesoradas se muestran como tales. Lee la configuración de Defender, Sentinel, Purview y Power Platform donde las APIs consentidas lo permiten, con mapeo regulatorio a LFPDPPP / CNBV / NOM-151. No revende ni implementa Sentinel o Defender XDR como SIEM/MSSP administrado.

El free scan conecta tu tenant Microsoft 365 vía OAuth de solo lectura, ejecuta las 155 reglas de Microsoft Graph de la biblioteca de 201 y calcula un score sIPO (0–100) con grado A+ a F; la vista previa en pantalla suele aparecer en un par de minutos (los tenants grandes pueden tardar más porque Microsoft Graph tiene límites de tasa) y la Posture Brief en PDF de 3 páginas se entrega en menos de una hora. No requiere tarjeta de crédito. El consentimiento OAuth es estrictamente read-only — ninguna regla escribe en tu tenant. Las 46 reglas de Azure Resource Manager se suman al conectar con consentimiento de administrador y rol Reader (Operación).

Solo configuración de seguridad, nunca contenido. Vía Microsoft Graph + Azure Resource Manager (consentimiento de solo lectura) leemos: políticas de identidad y acceso condicional, estado y métodos de MFA, roles y asignaciones privilegiadas, consentimientos de aplicaciones (OAuth), configuración de Exchange/correo (DKIM/DMARC/reglas de reenvío — no el correo en sí), políticas DLP y etiquetas de Purview, configuración de dispositivos/Intune, compartición externa de SharePoint/OneDrive, y configuración de recursos de Azure (NSG, almacenamiento, cifrado, Defender for Cloud). Nunca leemos el cuerpo de correos, archivos, chats ni calendarios. Puedes revocar el acceso cuando quieras desde tu portal de Microsoft 365.

Producción corre en un solo VPS de Hetzner en Ashburn, Virginia, publicado mediante Cloudflare Tunnel. PostgreSQL y Redis escuchan solo en loopback. Los tokens sensibles usan AES-256-GCM en la aplicación; se generan respaldos PostgreSQL verificados cada hora y el estado del canal cifrado offsite se monitorea explícitamente. No hay failover multi-región. La portabilidad se entrega en formatos estándar cuando aplica.

No para el Escaneo ni la Auditoría gratuita. Los controles y rutas disponibles dependen de las licencias y APIs presentes en tu tenant; por ejemplo, Acceso Condicional requiere Microsoft Entra ID P1. Operación no exige ni revende E5, Defender XDR o Microsoft Sentinel. Los controles que tu licencia no permite verificar se muestran como pendientes u omitidos, nunca como aprobados.

Las 188 son menos que las 201 porque varias reglas comparten una misma ruta de corrección. El catálogo está mapeado por capacidad y todo cambio exige aprobación. Hoy 21 playbooks tienen un ejecutor automático real vía Microsoft Graph; los demás son guiados, asistidos o de solo reporte según la API y el riesgo. Una ruta de remediación no equivale a ejecución automática, y los controles pendientes o no verificables se muestran como tales.

Sí. Para cada pago en MXN emitimos tu CFDI 4.0 (XML + PDF al correo del comprador y al RFC del receptor). Recopilamos tu RFC, régimen fiscal y uso de CFDI en el intake. Tipos de comprobante soportados: Ingreso, Egreso, Traslado, Pago; uso CFDI G03 por defecto (gastos en general), ajustable en intake. La emisión automática vía nuestro PAC ante el SAT está en proceso de habilitación; mientras tanto coordinamos la emisión de cada comprobante directamente contigo.

Sí. Los precios de Operación listados en /precios y /operacion son en pesos mexicanos con IVA incluido (la Auditoría es gratuita). El 16% (tasa general según Ley del IVA, Art. 1) ya está incluido en el precio mostrado. Cada CFDI emitido desglosa el subtotal + el IVA en la línea de impuesto trasladado.

Depende de dónde estés. Si accedes desde fuera de México (en /en) los precios se muestran y se cobran en USD, y recibes un recibo de Stripe por cada pago. Dentro de México los precios son en MXN con IVA del 16% incluido, y emitimos CFDI 4.0 a solicitud (el IVA se desglosa en el CFDI; la emisión automática vía PAC ante el SAT está en proceso de habilitación). El IVA es un impuesto mexicano: no se aplica a clientes facturados en USD.

Las ofertas del estudio se pagan según la cotización escrita. Operación usa Stripe Checkout después de una Auditoría completada y vinculada al comprador; su primer pago canónico es $39,900 MXN. La compra general está cerrada. Solo un piloto autorizado, vinculado al comprador y a una Auditoría completada, puede iniciar la compra por la API de resultados; los demás clientes comienzan con la Auditoría gratuita.

No. La Auditoría es gratuita: conectas Microsoft 365 (solo lectura), corremos las 155 reglas de Microsoft Graph de la biblioteca de 201 y entregamos el reporte completo — score de postura 0–100, hallazgos observados, controles pendientes, plan de remediación priorizado y PDF bilingüe — sin costo y sin tarjeta. No hay nada que reembolsar porque no hay pago.

Sí. La garantía cubre el primer pago, incluido setup, durante 14 días y solo mientras ninguna remediación de la suscripción haya alcanzado applied o verified. La cancelación mensual existe por separado. La compra general está cerrada. Solo un piloto autorizado, vinculado al comprador y a una Auditoría completada, puede iniciar la compra por la API de resultados; los demás clientes comienzan con la Auditoría gratuita.

Sí. La cancelación se programa al final del periodo desde el portal de facturación o, para un comprador agente, con POST al endpoint de cancelación autenticado por el token de compra. DELETE retira una cancelación programada antes de que sea efectiva.

La Auditoría gratuita no crea ningún contrato. Operación es mensual y la cancelación se programa al fin del periodo. La compra general está cerrada. Solo un piloto autorizado, vinculado al comprador y a una Auditoría completada, puede iniciar la compra por la API de resultados; los demás clientes comienzan con la Auditoría gratuita.

Cada regla mapea a una o varias fuentes primarias: CIS Microsoft 365 Foundations Benchmark v3.0 (L1 + L2), CISA Cross-Sector Cybersecurity Performance Goals, CISA SCuBA / ScubaGear (líneas base aplicables a agencias federales de EE.UU.), NIST CSF 2.0, NIST 800-53, Microsoft Cloud Security Benchmark. Para el contexto mexicano: LFPDPPP Art. 18 (medidas de seguridad), CNBV Circular Única Art. 168 Bis 11 (retención de logs 3 años, archivo inmutable 10 años), NOM-151 cuando aplica. El mapping rule-por-rule contra SCuBA se publica en docs/SCUBAGEAR_MAPPING.md.

Sí. simiriki S.A. de C.V. opera bajo la Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Tenemos aviso de privacidad publicado en /privacidad, DPA disponible en /dpa, retención de datos personales según política del cliente, y mecanismos de derechos ARCO (Acceso, Rectificación, Cancelación, Oposición) — solicitudes a hola@simiriki.com con respuesta en menos de 20 días hábiles.

Sí. Microsoft Partner One ID 6972092. La metodología y los 9 conectores activos están construidos sobre Microsoft Graph + Azure Resource Manager APIs, con licenciamiento e implementación alineados a los acuerdos del programa de Partner.

Las solicitudes se registran en /cotizar y reciben confirmación por correo. El alcance, la fecha de entrega, el soporte y cualquier tiempo de respuesta comprometido aparecen en la cotización o acuerdo aceptado; la disponibilidad pública puede consultarse en status.simiriki.com.

No. simiriki opera por correo y portal. El histórico operacional (qué se cambió, cuándo, por quién y con qué autorización) requiere una bitácora persistente. Si una conversación en vivo resulta necesaria para un alcance aceptado, se coordina por correo.