Esta página describe las protecciones que siempre están activas, con independencia de lo que configure. Está pensada para revisiones de seguridad y cuestionarios. Los controles que usted configura en persona están en las otras páginas de esta sección.
Aislamiento entre organizaciones
Cada cliente es una organización (un tenant). La separación se aplica en tres niveles:
| Nivel | Cómo |
|---|---|
| Base de datos | Cada tabla que contiene datos de la organización tiene seguridad a nivel de fila (row-level security). Una sesión de base de datos está vinculada a una sola organización y solo puede leer y escribir las filas de esa organización, aunque el código de la aplicación pida más. |
| Aplicación | Cada solicitud se resuelve en una organización y una única pertenencia. Un miembro de una organización no tiene derechos en otra, y el rol de la misma persona se consulta por organización. |
| Dispositivos | Un dispositivo pertenece a una organización. Sus credenciales, topics y comandos están vinculados a él; nunca recibe mensajes de otro dispositivo. |
Los trabajos en segundo plano que actúan sobre varias organizaciones (retención, recuento de uso, facturación) listan las organizaciones a través de una única vía protegida y después trabajan dentro del límite propio de cada organización.
Regiones
Hermetry funciona como despliegues separados en la Unión Europea, Estados Unidos y Türkiye. Los datos de su organización permanecen en su región de origen. El directorio global que enruta las solicitudes solo conoce en qué región y nodo está alojada una organización; no guarda ningún nombre, dirección, propietario ni ajuste. El acceso de emergencia de los operadores de Hermetry a un nodo requiere dos firmas, tiene duración limitada y queda marcado en su registro de auditoría. Consulte Regiones y residencia de los datos.
Secretos y claves
| Secreto | Cómo se guarda |
|---|---|
| Contraseñas | Se almacenan con un hash lento; nunca se guardan ni se muestran en claro. |
| Tokens de acceso de dispositivos y contraseñas MQTT | Se muestran una sola vez al emitirse; solo se almacena un hash. |
| Claves de API | Se muestran una sola vez; solo se almacena un hash. |
| Secretos en la configuración (cuentas de correo y SMS, secretos de cliente OAuth, contraseñas de endpoints, claves privadas SAML) | Cifrados en reposo; no se vuelven a mostrar tras guardarlos y nunca se escriben en los logs. |
| Secretos de las aplicaciones de autenticación | Protegidos con una clave propia de cada persona. |
| Claves privadas de certificados de dispositivo | Nunca salen del dispositivo. Hermetry almacena el certificado y su huella digital. |
| Claves de la autoridad de certificación | Las claves raíz están fuera de línea; las claves de firma en línea están selladas y custodiadas por un único proceso aislado. Consulte La autoridad de certificación de dispositivos. |
Los secretos nunca aparecen en exportaciones, filas de auditoría, webhooks ni textos de notificaciones.
Mínimo privilegio para los procesos
Hermetry está dividido en procesos, y cada uno recibe solo lo que necesita:
- La pasarela de dispositivos, que termina MQTT y HTTP de dispositivos, se conecta a la base de datos con su propio usuario, que solo puede invocar unas pocas funciones restringidas. No tiene ninguna clave de la autoridad de certificación.
- El firmante de certificados es el único proceso que puede desellar las claves de firma.
- El worker de aprovisionamiento responde a las solicitudes de aprovisionamiento de dispositivos sin ninguna clave de firma.
- Los scripts de los flujos se ejecutan en sandboxes aislados, con límites de tiempo y sin red, archivos ni credenciales.
Un fallo en un proceso, por tanto, no entrega a un atacante las claves de otro.
Sesiones
- Un inicio de sesión crea una sesión con tokens de acceso de corta duración que se rotan. Si se usa dos veces un token de actualización, se cierran todas las sesiones de esa persona, porque significa que un token fue copiado.
- Las sesiones terminan tras un período de inactividad y tras una duración absoluta.
- Un cambio de rol, una suspensión o una baja cierran de inmediato las sesiones de la persona en la organización. Las sesiones y las conexiones de dispositivos de una organización suspendida se cierran de inmediato.
Consulte Sesiones, bloqueo y dispositivos de confianza.
Protección frente al abuso
| Control | Efecto |
|---|---|
| Límites de frecuencia | Las rutas de API, el inicio de sesión y los dispositivos tienen límites de solicitudes; al superarlos, las solicitudes se rechazan (429) o los mensajes de los dispositivos se descartan. |
| Bloqueo de cuenta y CAPTCHA | Los inicios de sesión fallidos repetidos bloquean la cuenta durante un tiempo. |
| Bloqueo de direcciones | Las direcciones que siguen fallando en varias cuentas quedan bloqueadas durante un tiempo. |
| El cortafuegos de IA | Vigila las señales de seguridad y abre incidentes que explican lo que ha detectado. Consulte El cortafuegos de IA. |
| Señuelos | Claves, registros y rutas falsos que nadie legítimo utiliza; tocar uno genera una señal crítica. |
Conexiones salientes
Los webhooks, los bloques HTTP de los flujos y los endpoints consultados se conectan desde Hermetry hacia el exterior. Rechazan las direcciones privadas, de loopback e internas una vez resuelto el nombre, de modo que no pueden usarse para llegar a la red interna de Hermetry. Un webhook solo puede llegar a un destino interno mediante una lista de permitidos explícita que añade un administrador. Consulte Webhooks y Conexiones y secretos.
Evidencias
Las acciones sensibles se escriben en un registro de auditoría encadenado por hash que la aplicación no puede editar. Consulte Qué se audita.
De lo que usted es responsable
- A quién hace miembro y con qué rol.
- Segundos factores e inicio de sesión único para sus personas.
- Perfiles de dispositivo: TLS, redes permitidas, credenciales.
- Claves de API: sus permisos, redes y caducidad.
- Sus propias copias de los datos exportados.