--- url: 'https://dxpr.com/es/hc/documentacion/aprender-dxpr-builder/avanzado/seguridad' title: 'Seguridad | DXPR' author: name: Jurriaan url: 'https://dxpr.com/users/jurriaan' date: '2026-10-24T11:15:42+00:00' updated: '2026-10-24T19:36:26+00:00' copyright: 'Copyright DXPR. All rights reserved.' type: article summary: |- Esta página enumera lo que DXPR Builder protege por su cuenta y lo que decides tú: quién puede editar, si la salida para visitas pasa por filtros de formato de texto y qué archivos pueden subir las personas que editan. tags: - 'Meet compliance requirements' image: 'https://dxpr.com/themes/custom/dxpr_com/images/dxpr-share-card.jpg' published: true og: site_name: DXPR updated_time: '2026-10-24T19:36:26+0000' 'image:alt': 'DXPR, powered by Drupal: AI-powered Drupal for marketers.' schema: '@context': 'https://schema.org' '@graph': - mainEntity: { } - '@type': TechArticle headline: Seguridad description: |- Esta página enumera lo que DXPR Builder protege por su cuenta y lo que decides tú: quién puede editar, si la salida para visitas pasa por filtros de formato de texto y qué archivos pueden subir las personas que editan. image: '@type': ImageObject url: 'https://dxpr.com/themes/custom/dxpr_com/images/dxpr-share-card.jpg' width: '1200' height: '630' datePublished: '2026-10-24T11:15:42+0000' dateModified: '2026-10-24T19:36:26+0000' author: '@type': Organization '@id': 'https://dxpr.com/#organization' name: DXPR url: 'https://dxpr.com/' logo: '@type': ImageObject url: 'https://dxpr.com/themes/custom/dxpr_com/dxpr-logo-dark.svg' width: '1348' height: '501' publisher: '@type': Organization '@id': 'https://dxpr.com/#organization' name: DXPR url: 'https://dxpr.com/' logo: '@type': ImageObject url: 'https://dxpr.com/themes/custom/dxpr_com/dxpr-logo-dark.svg' width: '1348' height: '501' mainEntityOfPage: 'https://dxpr.com/es/hc/documentacion/aprender-dxpr-builder/avanzado/seguridad' articleSection: 'Cumplimiento normativo' - '@type': WebPage '@id': 'https://dxpr.com/es/hc/documentacion/aprender-dxpr-builder/avanzado/seguridad' description: |- Esta página enumera lo que DXPR Builder protege por su cuenta y lo que decides tú: quién puede editar, si la salida para visitas pasa por filtros de formato de texto y qué archivos pueden subir las personas que editan. breadcrumb: '@type': BreadcrumbList itemListElement: - '@type': ListItem position: 1 name: Inicio item: 'https://dxpr.com/es' publisher: '@type': Organization '@id': 'https://dxpr.com/#organization' name: DXPR inLanguage: es --- [Centro de ayuda](/es/hc)/[Documentación](/es/hc/documentacion) /[Aprende DXPR Builder](/es/hc/documentation/learn-dxpr-builder) /[Gestionar el sitio](/es/hc/documentation/learn-dxpr-builder/manage) /[Cumplimiento normativo](/es/hc/documentation/learn-dxpr-builder/manage/compliance) # Seguridad. Aprende DXPR BuilderGestionar el sitioCumplimiento normativo ## En esta guía Guías relacionadas - [Rendimiento](/es/hc/documentacion/aprender-dxpr-builder/avanzado/rendimiento) Esta página enumera lo que DXPR Builder protege por su cuenta y lo que decides tú: quién puede editar, si la salida para visitas pasa por filtros de formato de texto y qué archivos pueden subir las personas que editan. ## Salida del constructor y formatos de texto El constructor guarda una página como HTML en el campo y muestra ese HTML tal como se guardó. Los filtros de formato de texto no actúan en campos del constructor por defecto. Una persona usuaria con **Edit with DXPR Builder** que puede editar una página puede por tanto añadirle cualquier HTML, incluidos scripts en un elemento HTML. Concede el permiso solo a roles de confianza; Drupal lo marca como restringido en la página de permisos. **Apply text format filters to frontend content**, en **DXPR Studio** > **DXPR Builder** > **General Settings** > **Text Filters**, ejecuta el formato de texto del campo para personas que no son editoras. Quienes editan siguen viendo el contenido crudo. Un formato restrictivo también puede quitar marcado del constructor, así que prueba las páginas con él activado. La salida de IA tiene su propio filtro. En **DXPR Studio** > **DXPR Builder** > **AI**, **AI Output Filtering** limita el contenido generado a los **Allowed domains** que enumeres. ## Permisos de usuario DXPR Builder define tres permisos: | Permiso | Etiqueta | Otorga | |---|---|---| | `edit with dxpr builder` | **Edit with DXPR Builder** | Usar el constructor en contenido que la persona puede editar; cada una de esas cuentas usa una licencia | | `administer dxpr builder configuration` | **Administer DXPR Builder configuration** | **General Settings**, ajustes de IA, **User Licenses**, **Content items** y **Migrations** | | `administer dxpr_builder_profile` | **Administer dxpr builder profile** | **User Profiles** | Las páginas de administración **Page Templates** y **User Templates** necesitan el permiso del núcleo **Administer site configuration**. El editor también necesita acceso de actualización al propio contenido, como **Basic page: Edit any content**. Cada guardado lo comprueba de nuevo en el servidor. ## Rutas AJAX y protección CSRF Estas rutas solo aceptan peticiones con token CSRF y solo de una cuenta con **Edit with DXPR Builder** no excluida de la edición: - `/dxpr_builder/ajax` (guardado, plantillas, bloques y vistas) - `/dxpr_builder/ajax/ai/chat` (asistente de texto de IA) - `/dxpr_builder/ajax/ai/image` (generación de imágenes con IA) - `/dxpr_builder/ajax/ai/image/edit` (edición de imágenes con IA) - `/dxpr_builder/ajax/file_upload` (subida de archivos) `/dxpr_builder/user-settings` y `/dxpr_builder/entity-link-suggestions` también exigen token y el permiso. El editor obtiene tokens frescos de `/dxpr_builder/csrf`, que solo responde a cuentas que pueden editar. `/dxpr_builder/media-library` necesita **View media**. No hace falta ninguna configuración manual. ## Perfiles de usuario Los perfiles de usuario dan forma al editor para cada rol: qué **Elements**, **Blocks**, **Views**, **Page templates**, **Global user templates** e **Icon sets** ven las personas que editan, y qué botones del editor de texto reciben. Un perfil no es una frontera de seguridad. La ruta de guardado acepta cualquier HTML de una persona con el permiso, así que ocultar el elemento HTML no detiene a quien edita con decisión. Más de un perfil necesita el nivel DXPR Enterprise. ## Subida de archivos La ruta de subida `/dxpr_builder/ajax/file_upload`: - Solo acepta imágenes GIF, JPEG, PNG, WebP, AVIF y SVG, y vídeos WebM, Ogg, MP4 y QuickTime, mediante la validación de subida de archivos de Drupal. - Limita el tamaño de archivo al límite de subida de PHP. - Guarda archivos en `dxpr_builder_images`, `dxpr_builder_videos` o `dxpr_builder_files` en el directorio de archivos predeterminado, como archivos permanentes. Los archivos SVG pueden contener scripts que se ejecutan cuando alguien abre el archivo directamente. Esa es una razón más para reservar el permiso de edición a roles de confianza. En un sitio cuyo sistema de archivos predeterminado es privado, los archivos en las carpetas privadas `dxpr_builder_images` y `dxpr_builder_videos` se sirven a cada visita, porque las páginas del constructor los muestran en público. No subas archivos confidenciales con el constructor. ## ¿Qué sigue? [Ajuste de rendimiento para páginas más rápidas](/es/hc/documentacion/aprender-dxpr-builder/avanzado/rendimiento) para seguir explorando DXPR Builder.