SMTP y correo

SMTP y correo

El backend usa nodemailer via src/services/email/providers/nodemailer.provider.js. Los flujos de recuperacion de password y correos transaccionales dependen de esta configuracion.

Variables

Variable	Uso
EMAIL_PROVIDER	Provider de correo; default observado smtp.
SMTP_HOST	Host SMTP.
SMTP_PORT	Puerto SMTP; default 587.
SMTP_SECURE	TLS directo si aplica.
SMTP_USER	Usuario SMTP.
SMTP_PASSWORD o SMTP_PASS	Password SMTP.
EMAIL_FROM	Remitente obligatorio.
EMAIL_REPLY_TO	Reply-To opcional.

SMTP_FROM no fue observado en codigo; usa EMAIL_FROM.

Flujos que dependen de correo

Flujo	Dependencia
Forgot password sendOtp	Envia codigo al email asociado.
Reset password confirmation	Puede enviar confirmacion si el flujo esta activo.
Firma documental por correo	Depende de templates y provider si se usa envio remoto.

Prueba segura

1. Usar SMTP sandbox o destinatario QA autorizado.
2. No usar datos reales de pacientes.
3. Configurar EMAIL_FROM con dominio validado.
4. Validar SPF/DKIM/DMARC en proveedor real.
5. Enviar flujo sendOtp a usuario QA ficticio.
6. Confirmar que logs no imprimen OTP completo ni password.
7. Confirmar rate limit en abuso de sendOtp.
8. Confirmar reset invalida sesiones y refresh tokens.

Checklist antes de produccion

• SMTP_HOST, SMTP_PORT, SMTP_USER, SMTP_PASSWORD configurados.
• EMAIL_FROM autorizado por el proveedor.
• Credencial SMTP no compartida con usuarios humanos.
• Sandbox validado antes de proveedor real.
• Alertas por picos de envio.
• Runbook de credencial SMTP comprometida.
• No hay credenciales SMTP en docs, tickets o logs.

Pendientes si no hay SMTP real

Si todavia no hay provider final:

• Definir proveedor.
• Definir dominio remitente.
• Configurar SPF/DKIM/DMARC.
• Crear credencial productiva.
• Crear credencial sandbox.
• Ejecutar reset password end-to-end.
• Documentar limites de envio.