Tu cliente ve sus pedidos, sus tickets y sus facturas con un enlace que le llega por correo. Sin cuenta y sin contraseña.
La cara que tu negocio le da a su cliente. Pide un enlace con el correo con el que le vendiste, lo abre y ve lo suyo — lo que tú decidas publicar y nada más. Con tu nombre y tu logo, no los nuestros.
No es un segundo Helpdesk: desde el portal no se levanta un ticket. Y no es el sistema de registro de nada: todo lo que enseña es una copia de lo que ya está en tu tienda, tu mesa de ayuda o tu facturación.
Ferretería Acme
Hola, Laura.
Pedidos
Pedido A-2231
$4,820.0018 sepEnviadoGuía 7731 0042 · Estafeta
Facturas
Factura F-118
$4,820.0018 sepTimbrada
Tickets de soporte
#00417 · Factura con RFC equivocado
22 sepEn proceso
- Puerta
- /p/ferreteria-acme
- Enlace
- 30 min · 5 usos
- Dentro ahora
- 3 clientes
Los demás módulos le abren la puerta a quien ya demostró quién es. Éste, a quien llega con un enlace.
Todo el producto sale de ahí. Un enlace que se filtra no enseña una conversación: enseña qué compró alguien, cuánto pagó y a qué dirección se lo mandaron. Estas cuatro decisiones son las que hacen que eso no pase.
Tu cliente no crea una cuenta, y nunca la va a crear
No hay registro, no hay contraseña que recuperar y no hay perfil que editar. Pide su enlace con el correo con el que le vendiste, le llega, lo abre y ve lo suyo. Un área de clientes con contraseña es un área de clientes que nadie usa dos veces, y una contraseña más que alguien tiene que guardar.
Por omisión no se publica nada, y eso es a propósito
Un portal recién creado enseña cero: no tiene dirección pública, las tres secciones nacen apagadas y cada dato sensible tiene su propia casilla, también apagada. Encender es una decisión del dueño y no se deshace —apagar mañana no le borra a nadie lo que ya vio—, así que la dirección segura de la omisión es «no».
Un interruptor que cierra la puerta ahora, no en doce horas
Si algo se está enseñando mal, se cierra el portal de un botón y se corta también a quien ya estaba dentro: el portal comprueba que siga abierto en cada lectura, no sólo al entrar. Y el enlace que llega por correo dura media hora y sirve unas pocas veces, para que el antivirus del cliente pueda abrirlo antes que él sin dejarlo fuera.
Nadie de tu equipo puede ver el enlace de un cliente
Mandar un enlace manda un correo a la dirección registrada y devuelve sólo cuándo caduca. No hay pantalla, permiso ni papel —tampoco el del dueño— que enseñe uno en claro, porque un enlace en la mano de alguien es la relación entera de una persona con tu negocio abierta en una pestaña.
De que pide el enlace a que ve lo suyo
Enciendes lo que se publica
El dueño abre la puerta pública —/p/tu-negocio— y enciende sección por sección: pedidos, tickets, facturas. Cada dato sensible tiene su casilla: importes, artículos, dirección de envío. Todo nace apagado.
Tu cliente pide su enlace
Teclea su correo en tu puerta pública, o alguien de tu equipo se lo manda desde el panel. La respuesta es siempre la misma, exista la dirección o no: «si está registrada, te llegó un enlace».
Lo abre y entra
El enlace dura treinta minutos y sirve cinco veces, para que el filtro de su correo pueda abrirlo antes que él. Al canjearlo desaparece de la barra de direcciones: la visita dura una hora y nunca estuvo en una URL.
Ve lo suyo, y nada más
Sus pedidos, sus tickets y sus facturas, con tu nombre y tu logo arriba. Cada cosa es una copia de lo que ya está en Tienda, Helpdesk o CFDI, recortada por tus casillas. No escribe nada: mira y sale.
Lo que ya viene resuelto
Tres secciones, una casilla por dato
Pedidos, tickets y facturas, cada una con su interruptor y sus casillas: importes, detalle, dirección. Lo que no está encendido no se enseña — y tampoco se guarda: la copia se recorta al recibirla, no al mostrarla.
Padrón de clientes con bloqueo
Quién puede pedir un enlace lo decides tú, alta por alta. Bloquear a alguien le corta la sesión abierta en la siguiente lectura, no cuando caduque. El alta automática desde tus pedidos existe, y está apagada hasta que el dueño la encienda.
Enlaces que se mandan, no se copian
Desde el panel se le manda otro enlace a quien llama; el correo sale a la dirección registrada y la pantalla sólo dice cuándo caduca. Cortarle el acceso a alguien mata sus enlaces y sus sesiones de golpe, y lo puede hacer quien atiende el teléfono.
«¿Qué está viendo mi cliente?»
La vista previa del panel pinta exactamente lo que ese cliente ve, con el mismo componente y el mismo recorte. Una vista previa hecha con otro código es una vista previa que puede mentir, y la pregunta sólo sirve si la respuesta es exacta.
Registro de accesos sin direcciones ni IPs
Quién pidió un enlace, quién entró, a quién paró el freno — con hashes, nunca con lo tecleado. El formulario es público, y un registro que guardara direcciones sería a la semana una lista de correos de gente que no es cliente de nadie. Se borra solo a los noventa días.
El freno lo cuenta la base, no el proceso
Tres por hora por dirección, diez por origen, doscientos por negocio, contados dentro de la base. Sin límite, un formulario que manda correo a tu nombre es un mandadero gratis, y quien paga la reputación del dominio eres tú.
Qué ve tu cliente de cada cosa, casilla por casilla
Los módulos de origen emiten la fila entera; el portal copia sólo lo que las casillas permiten en ese momento, y un guardián en la base rechaza cualquier dato que no esté en esta lista. Lo de la última columna no sale con ninguna casilla.
| Qué | Siempre | Con «importes» | Con «detalle» | Con «dirección» | Nunca |
|---|---|---|---|---|---|
Pedido de Tienda | Folio, fecha y estado | Total y moneda | Artículos y cantidades | Dirección de envío, guía y paquetería | El margen, el coste y las notas internas del pedido |
Ticket de Helpdesk | Folio, asunto, estado y último movimiento | — | Cola y prioridad | — | El cuerpo de los mensajes, ni públicos ni internos: no hay dónde meterlos |
Factura de CFDI | Serie, folio, fecha y estado | Total y moneda | Folio fiscal y forma de pago | — | El XML y el PDF: piden una URL firmada y quedan para otra entrega |
Encender «dirección» es la única decisión irreversible del módulo y por eso es sólo del dueño: un pedido sin dirección que se filtra es un pedido; con dirección es la dirección de casa de alguien.
Tú entras aquí. Tu cliente, nunca: él entra por su enlace.
Crea tu portal —nace cerrado y sin publicar nada—, decide qué se enseña, da de alta a tus clientes e invita a tu equipo por correo. Quien atiende el teléfono podrá mandar otro enlace o cortar un acceso sin buscarte.
- Una cuenta por persona; el mismo correo sirve en todos los productos del sitio.
- Tu padrón y lo que publicas viven en tu espacio, protegidos por políticas de fila: nadie más los ve.
- Qué se publica y a quién se da de alta es sólo del dueño; cortar un acceso lo puede hacer quien atiende.
Para tus clientes, un enlace. Para tu equipo, el panel dentro de tu sistema.
La pantalla del cliente final no se embebe, y es a propósito: su sesión vive en una cookie de nuestro origen, y dentro de un iframe en tu sitio sería una cookie de terceros. Lo que sí se embebe es lo que hace falta para atender a un cliente que llama: buscarlo, mandarle otro enlace, ver qué se le enseña, cortarle el acceso — y cerrar el portal entero.
<!-- En tu sitio, para tus clientes: un enlace y nada más -->
<a href="https://nexusnorth.dev/p/ferreteria-acme">Ver mis pedidos</a>
<!-- En tu sistema, para tu equipo: el panel de atención -->
<script src="https://nexusnorth.dev/embed/v1/nexus-portal.js" defer></script>
<nexus-portal
tenant-id="tu-tenant"
auth-token="token-efimero-de-tu-backend"
workspace-id="tu-portal"
brand-name="Ferretería Acme"
style="--nexus-primary: #4f46e5; --nexus-radius: 0.75rem"
></nexus-portal>
<script>
document.querySelector("nexus-portal")
.addEventListener("token-expired", renovarToken);
</script>- El token lo emite tu backend con tu llave secreta y dura quince minutos; cuando caduca, el módulo avisa con un evento y tu página pide otro.
- Lo irreversible no está en el embebido: qué se publica, el alta automática y el correo de un cliente se deciden sólo en el panel completo. Cerrar la puerta sí está, porque hay que poder hacerlo desde donde uno esté.
- Si ya tienes nuestra Tienda, Helpdesk o CFDI, el portal se llena solo: escucha sus eventos y no comparte tablas con ellos.
- Sin cookies de terceros: el token viaja en memoria, no en el navegador.
- Aislado en Shadow DOM: tus estilos no lo tocan y los suyos no te tocan.
Lo que suelen preguntar antes de entrar
¿No es lo mismo que el enlace de Helpdesk?
No, y la diferencia es el alcance. El enlace de Helpdesk abre un ticket; éste abre todo lo que una persona tiene con tu negocio: qué compró, cuánto pagó y a dónde se lo mandaste. El mismo patrón con diez veces el radio de explosión, y por eso el de aquí dura media hora y el de Helpdesk dura días.
¿Puede mi cliente abrir un ticket desde el portal?
No. Desde el portal no se escribe nada: pide un enlace, lo canjea, mira y sale. Un formulario público que escribiera en la base de otro módulo sería una vía de escritura sin sesión, que es justo lo que todo el catálogo evita. El portal enseña el estado y el folio del ticket; para escribir, tu cliente usa el enlace de Helpdesk que ya recibió.
¿Y si el enlace caduca?
Vuelve a pedirlo desde la misma pantalla. Un enlace inventado, caducado, revocado o agotado enseña exactamente lo mismo: «este enlace ya no es válido» y el formulario. Distinguirlos le diría a quien prueba enlaces cuándo acertó con uno que existió, que es la señal que hace que valga la pena seguir probando.
¿Por qué cinco usos y no uno solo?
Porque los filtros de correo corporativos y los antivirus abren los enlaces antes que la persona, para comprobarlos. Con un solo uso, el que quema el enlace es el escáner y tu cliente recibe «ya no vale» sin haber hecho nada. Cinco cubre al escáner, a la persona y a la pestaña que se cerró; media hora de vida es la compensación.
¿Puede alguien de mi equipo ver el enlace de un cliente?
No, con ningún papel, tampoco el dueño. Mandar un enlace manda el correo y devuelve sólo cuándo caduca; la base guarda un hash y el enlace en claro no queda escrito en ninguna parte. Un empleado con el enlace en la mano es un empleado que puede abrir el portal de un cliente y mirar.
¿Qué pasa si apago el portal con clientes dentro?
Se les corta también a ellos, en la siguiente lectura. El portal comprueba que siga abierto cada vez que pinta algo, no sólo al entrar. Un interruptor que dejara dentro a los que ya estaban hasta que les caducara la sesión no sería un interruptor de pánico.
¿Puedo poner el portal dentro de mi sitio?
El panel de tu equipo sí, con la etiqueta de arriba. La pantalla de tu cliente no: su sesión vive en una cookie de nuestro origen y dentro de un iframe sería una cookie de terceros. En tu sitio pones un enlace a /p/tu-negocio, con tu nombre y tu logo arriba al llegar.
¿Mi cliente puede descargar el XML o el PDF de su factura?
Todavía no. Ve la serie, el folio, el estado y, si lo enciendes, el folio fiscal y la forma de pago. La descarga necesita una URL firmada con su propio vencimiento —una que sobreviva a la sesión sería una fuga con otro nombre— y es la siguiente entrega.
¿Dónde viven los datos?
En nuestra instancia por omisión, con aislamiento por espacio impuesto en la base de datos. Lo que el portal guarda es una copia recortada por tus casillas, con fecha de borrado: pasada la ventana de histórico de cada sección, se barre solo. Si borraras el portal entero no se perdería un solo dato de tu negocio.
¿Tus clientes te escriben para preguntar en qué va su pedido?
Cuéntanos qué vendes y con qué llevas hoy tus pedidos, tus tickets y tus facturas, y te decimos si este módulo encaja — o si lo tuyo necesita otra cosa.
Hablemos