Apéndice B — Checklist resumida pre-producción

• Dominio FQDN registrado y propagado
• Certificado TLS Let's Encrypt instalado y auto-renovando
• Firewall UFW activo solo con 22/80/443
• PostgreSQL en 127.0.0.1, password fuerte, backup diario
• Redis con password, bind local
• .env con permisos 600, secretos no en git
• Certificado .p12 DGII en /opt/tienda/secrets/ con permisos 400
• python manage.py ecf_validate_config pasa OK
• Secuencias e-CF PROD cargadas y CERT desactivadas
• Servicios systemd: tienda, tienda-daphne, tienda-celery, tienda-celerybeat, postgresql, redis, nginx
• Tareas Celery Beat configuradas (ecf_check_pending, ecf_poll_trackids, acr_check_deadline)
• Roles "Contador" y "Gerente" creados con emitir_ecf / anular_ecf
• Postulación DGII aprobada y URLs HTTPS registradas
• Primer e-CF PROD enviado y ACEPTADO
• Alertas (Slack/email) para contingencia y vencimiento certificado activas
• Backup diario PostgreSQL + backup mensual offsite del .p12

---