Ingeniería de Confianza: Seguridad y Conversión para la Plataforma de Christian Ruiz MD

from django.views.decorators.csrf import ensure_csrf_cookie
from django.core.validators import RegexValidator
from rest_framework import serializers, status
from rest_framework.decorators import api_view, throttle_classes
from rest_framework.throttling import AnonRateThrottle
from rest_framework.response import Response
import bleach

phone_validator = RegexValidator(
    regex=r'^\+?57?\s?3\d{9}$',
    message="Ingresa un número de celular colombiano válido."
)

class LeadSerializer(serializers.Serializer):
    """
    Solo recolectamos datos mínimos necesarios para el primer contacto.
    HIPAA-aligned: no pedimos información de salud en este formulario.
    """
    nombre      = serializers.CharField(max_length=100)
    telefono    = serializers.CharField(validators=[phone_validator])
    tipo_consulta = serializers.ChoiceField(choices=[
        ("general",    "Consulta general"),
        ("rejuvenecimiento", "Rejuvenecimiento facial"),
        ("corporal",   "Procedimientos corporales"),
        ("otro",       "Otro"),
    ])
    # Mensaje opcional — sanitizado contra XSS
    mensaje     = serializers.CharField(max_length=500, required=False, allow_blank=True)

    def validate_nombre(self, value):
        # Sanitizar: solo texto plano, sin HTML
        return bleach.clean(value, tags=[], strip=True)

    def validate_mensaje(self, value):
        return bleach.clean(value, tags=[], strip=True) if value else ""


@api_view(["POST"])
@throttle_classes([AnonRateThrottle])   # máximo 5 envíos por IP por hora
@ensure_csrf_cookie
def submit_lead(request):
    serializer = LeadSerializer(data=request.data)
    if not serializer.is_valid():
        return Response(serializer.errors, status=status.HTTP_400_BAD_REQUEST)

    data = serializer.validated_data

    # Guardar en CRM interno (Azure SQL, encriptado en reposo)
    lead = Lead.objects.create(**data)

    # Disparar automatización: correo al consultorio + WhatsApp al paciente
    trigger_lead_automation.delay(lead.id)

    # Respuesta: NO devolvemos el ID ni datos internos — evitar information leakage
    return Response({"status": "ok"}, status=status.HTTP_201_CREATED)

// next.config.ts — Configuración global de optimización de imágenes
const nextConfig = {
  images: {
    formats: ["image/avif", "image/webp"],
    deviceSizes: [390, 640, 828, 1080, 1200],   // breakpoints reales de la audiencia
    imageSizes: [128, 256, 512],
    minimumCacheTTL: 2592000,  // 30 días de cache en CDN para imágenes estáticas
  },
};

// ─────────────────────────────────────────────
// components/MedicalImageViewer.tsx
// Galería antes/después con lazy loading y zoom
// ─────────────────────────────────────────────
"use client";
import Image from "next/image";
import { useState } from "react";

interface BeforeAfterProps {
  beforeSrc: string;
  afterSrc: string;
  procedure: string;
  alt: string;
}

export function BeforeAfterCard({ beforeSrc, afterSrc, procedure, alt }: BeforeAfterProps) {
  const [showAfter, setShowAfter] = useState(false);

  return (
    <figure className="relative aspect-[3/4] rounded-2xl overflow-hidden bg-neutral-900 cursor-pointer"
            onClick={() => setShowAfter(!showAfter)}
            role="button"
            aria-label={`Ver resultado ${showAfter ? "antes" : "después"} — ${procedure}`}>

      {/* Imagen ANTES — carga inmediata con priority en las primeras 3 fotos */}
      <Image
        src={beforeSrc}
        alt={`Antes — ${alt}`}
        fill
        sizes="(max-width: 640px) 90vw, (max-width: 1024px) 45vw, 30vw"
        className={`object-cover transition-opacity duration-500 ${showAfter ? "opacity-0" : "opacity-100"}`}
        loading="lazy"
        quality={85}      // WebP al 85% visualmente idéntico a JPEG 95% con ~60% menos tamaño
      />

      {/* Imagen DESPUÉS — precarga en background una vez el componente monta */}
      <Image
        src={afterSrc}
        alt={`Después — ${alt}`}
        fill
        sizes="(max-width: 640px) 90vw, (max-width: 1024px) 45vw, 30vw"
        className={`object-cover transition-opacity duration-500 ${showAfter ? "opacity-100" : "opacity-0"}`}
        loading="lazy"
        quality={85}
      />

      {/* Indicator */}
      <div className="absolute bottom-3 left-0 right-0 flex justify-center gap-2">
        <span className={`px-3 py-1 rounded-full text-xs font-bold ${!showAfter ? "bg-white text-black" : "bg-white/30 text-white"}`}>
          ANTES
        </span>
        <span className={`px-3 py-1 rounded-full text-xs font-bold ${showAfter ? "bg-white text-black" : "bg-white/30 text-white"}`}>
          DESPUÉS
        </span>
      </div>
    </figure>
  );
}

from celery import shared_task
from django.conf import settings
import requests

WHATSAPP_API_URL = "https://graph.facebook.com/v20.0/{}/messages"

@shared_task(bind=True, max_retries=3, default_retry_delay=30)
def trigger_lead_automation(self, lead_id: int):
    """
    Tarea asíncrona que ejecuta el flujo de bienvenida al paciente.
    Celery + Redis garantizan que se procese aunque el servidor reinicie.
    """
    try:
        lead = Lead.objects.select_related("tipo_consulta").get(id=lead_id)
        slots = get_available_slots(days_ahead=5)   # próximas 5 fechas disponibles

        # 1. WhatsApp al paciente — respuesta inmediata
        patient_msg = build_patient_welcome(lead, slots)
        send_whatsapp(lead.telefono, patient_msg)

        # 2. Notificación al consultorio (médico + recepcionista)
        staff_msg = build_staff_notification(lead)
        for phone in settings.STAFF_WHATSAPP_NUMBERS:
            send_whatsapp(phone, staff_msg)

        # 3. Registrar en CRM con timestamp de primer contacto
        lead.first_contact_at = timezone.now()
        lead.status = "contacted"
        lead.save(update_fields=["first_contact_at", "status"])

    except Exception as exc:
        raise self.retry(exc=exc)


def send_whatsapp(phone: str, message: dict) -> None:
    """
    Envía mensaje vía WhatsApp Business API (Meta Cloud API).
    Los mensajes de confirmación médica usan plantillas pre-aprobadas
    para cumplir con los ToS de Meta y evitar bloqueos.
    """
    headers = {
        "Authorization": f"Bearer {settings.WHATSAPP_TOKEN}",
        "Content-Type": "application/json",
    }
    resp = requests.post(
        WHATSAPP_API_URL.format(settings.WHATSAPP_PHONE_ID),
        json={"messaging_product": "whatsapp", "to": phone, **message},
        headers=headers,
        timeout=10,
    )
    resp.raise_for_status()