Arquitectura AI-native con límites claros, medición y control humano.

1. Stack técnico

El sitio está construido con Astro, una arquitectura de islas que permite entregar HTML rápido y cargar JavaScript sólo donde aporta valor: diagnóstico, cotizador, AI Concierge, formularios y medición de eventos.

• Frontend estático optimizado para velocidad, SEO y mobile-first.
• APIs server-side para chat con IA, diagnóstico asistido y captura de leads.
• Despliegue en Vercel con HTTPS, redirecciones canónicas, sitemap dinámico y archivos para buscadores y agentes.
• Fuentes servidas localmente para reducir dependencias externas y mejorar consistencia de carga.

2. Seguridad del navegador

La capa pública incluye políticas de seguridad para reducir superficies comunes de ataque sin romper la experiencia comercial.

• Content Security Policy con bloqueo de objetos embebidos y protección contra framing.
• Headers como X-Content-Type-Options, Referrer-Policy, Permissions-Policy y políticas cross-origin.
• HTTPS obligatorio, canonicalización a www.aloria.mx y redirecciones limpias.
• Links externos con rel="noopener noreferrer" cuando abren en nueva pestaña.

3. IA con guardrails, no caja negra

Los sistemas AI Commerce se diseñan con contexto del negocio, límites de respuesta y rutas de escalamiento. La IA recomienda, organiza y resume; las decisiones sensibles se conservan bajo control humano.

• El AI Concierge usa APIs server-side; las llaves de OpenAI, Google o AI Gateway nunca deben vivir en el cliente.
• El diagnóstico comercial puede operar como reglas determinísticas y evolucionar a IA real conectada a CRM/backend.
• No se prometen ventas garantizadas, predicciones exactas ni reemplazo completo del equipo.
• Las recomendaciones se limitan a catálogo, precios, políticas y reglas definidas por el negocio.

4. Datos, privacidad y analítica

La medición se enfoca en eventos agregados del funnel: diagnóstico iniciado, demo vista, WhatsApp abierto, formulario enviado, cotización solicitada y conversaciones que requieren seguimiento.

• Vercel Web Analytics registra eventos de conversión sin enviar datos personales crudos como nombre, teléfono, correo o mensajes completos.
• Los formularios usan validación, honeypot, límites de payload, CORS restringido y sanitización básica.
• Las integraciones con CRM se preparan como webhooks HTTPS server-side, no como llamadas expuestas desde el navegador.
• La captura se limita a datos necesarios para diagnosticar, contactar y preparar propuestas.

5. Observabilidad operativa

Las APIs críticas generan logs estructurados y eventos agregados para detectar fallos, saturación, degradación de IA y estado de captura de leads sin registrar información sensible.

• Logs JSON por endpoint con duración, estado, proveedor de IA y resultado de CRM.
• Eventos server-side para chat, diagnóstico y webhook.
• Degradación controlada: si la IA no está configurada, el diagnóstico puede caer a reglas comerciales y el usuario recibe una experiencia honesta.
• Preparación para KV distribuido y CRM real vía variables de entorno seguras.

6. Qué significa para una PYME

No se trata de presumir tecnología por tecnología. La arquitectura existe para que un negocio local pueda responder más rápido, ordenar oportunidades, medir qué canal convierte y mejorar flujos cada mes sin perder control sobre precios, pedidos o atención humana.