Cómo protege Vaultiqo los secretos de su equipo
Un gestor de contraseñas solo es tan fiable como su diseño. Aquí explicamos con exactitud cómo Vaultiqo cifra, almacena y audita sus datos, incluidas las concesiones que hicimos y por qué.
- AES-256-GCMcifrado en el navegador, antes de enviar nada
- 2×capas de cifrado: en el navegador y de nuevo en el servidor
- 1:1una clave de cifrado distinta para cada organización
- 100 %de las visualizaciones de secretos quedan en el registro de auditoría
Qué ocurre cuando guarda un secreto
Cuatro pasos, de su teclado al almacenamiento cifrado. Los secretos se cifran antes de salir de su navegador.
01
Cifrado en su navegador
Las contraseñas, notas y demás datos se cifran en su dispositivo con AES-256-GCM mediante la Web Crypto API integrada en el navegador, usando la Tenant Key de su organización.
02
Enviado mediante TLS
Solo el blob cifrado viaja a nuestros servidores, siempre mediante TLS. El servidor nunca recibe por la red un secreto sin cifrar.
03
Cifrado de nuevo en el servidor
El servidor envuelve el texto cifrado en una segunda capa con una clave maestra custodiada en Google Secret Manager. Una base de datos robada, por sí sola, solo revela datos ilegibles.
04
Almacenado donde usted elija
Los datos con doble cifrado se guardan en nuestra base de datos alojada, en su propio Google Drive o en su propio proyecto de Firestore. Los adjuntos siguen la misma regla.
Nuestro diseño, sin rodeos
Vaultiqo utiliza claves de cifrado gestionadas. Cada organización tiene su propia Tenant Key, almacenada cifrada con una clave maestra del servidor. Cuando inicia sesión con Google, la clave llega a su navegador mediante TLS y se conserva solo en memoria, nunca en disco ni en cookies.
Es una decisión deliberada. Es lo que hace posibles el inicio de sesión con Google, las bóvedas compartidas del equipo y la recuperación por parte del administrador sin que nadie tenga que recordar una contraseña maestra. La contrapartida es que la bóveda del equipo no es zero-knowledge: nuestros servidores son una parte de confianza del sistema, así que los protegemos en consecuencia.
Quién ve qué
- Personas con acceso al elementoContraseña legible
- La red entre usted y nosotrosTexto cifrado dentro de TLS
- Google Drive y FirestoreSolo texto cifrado
- Una copia robada de la base de datosContraseñas solo como texto cifrado
- Servidores de VaultiqoClaves gestionadas, acceso restringido
- Un enlace público en nuestro servidorTexto cifrado, sin clave
Contra qué protege este diseño
- Una copia de la base de datos sin la clave maestra: solo contiene texto cifrado.
- Contraseñas maestras perdidas u olvidadas: no hay ninguna que perder.
- Antiguos empleados: el acceso termina con su cuenta de Google y un offboarding de un solo paso.
Dónde está el límite de confianza
La clave maestra del servidor es la joya de la corona. Reside en Google Secret Manager tras un acceso estrictamente acotado, admite rotación sin tiempo de inactividad y nunca se almacena en el código ni en la base de datos. Los enlaces que comparte con personas ajenas al equipo son distintos: son totalmente zero-knowledge y su clave nunca llega a nuestros servidores.
El acceso sigue a su Google Workspace
Sin cuentas aparte ni contraseñas adicionales. El acceso se concede, se limita y se revoca igual que ya gestiona a su equipo.
Inicio de sesión con Google
Todos usan su cuenta de Google Workspace existente, incluida la verificación en dos pasos que exija su organización.
Sesiones de corta duración
Los tokens de acceso duran 15 minutos. Los tokens de actualización rotan en cada uso, y reutilizar uno antiguo cierra toda la familia de sesiones. Al cerrar sesión, esta se revoca en el servidor.
Señales de seguridad de Google
Cuando Google informa de que una cuenta ha sido secuestrada, restablecida o desactivada, Vaultiqo cierra de inmediato las sesiones de esa persona en lugar de esperar a que caduquen.
Aislamiento estricto entre organizaciones
Cada usuario está vinculado explícitamente a una organización, y cada lectura, edición, uso compartido y exportación se verifica frente a ella. Los elementos personales siguen siendo privados, incluso para los administradores.
Grupos y roles
Los roles Propietario, Gestor y Miembro se asignan directamente a Google Groups. La sincronización la inicia un administrador, que ve una vista previa de los cambios antes de confirmar.
Acceso temporal y offboarding
Conceda acceso a un grupo durante un número fijo de días y caducará por sí solo. Cuando alguien se va, un solo paso transfiere sus elementos y revoca todo su acceso.
Sepa quién hizo qué y deshaga los errores
La seguridad no consiste solo en mantener fuera a los atacantes. También consiste en ver lo que ocurre dentro y en poder recuperarse cuando algo sale mal.
Registro de auditoría de cada uso
Vaultiqo registra no solo quién modificó una credencial, sino también quién la utilizó. Cada visualización queda registrada, el autorrelleno de la extensión se sigue por separado y el registro se puede filtrar por persona o acción.
Revisión de seguridad en el navegador
Un análisis con un clic detecta contraseñas débiles, reutilizadas, antiguas y filtradas. La comprobación de filtraciones usa Have I Been Pwned con k-anonimato, así que ni la contraseña ni su hash completo salen nunca de su dispositivo.
Papelera e historial de versiones
Los elementos eliminados esperan 30 días en la papelera, cada edición conserva la versión anterior y puede exportar sus datos a CSV en cualquier momento.
Diseñado a la defensiva, de principio a fin
Los detalles que rara vez llegan a una página de precios, pero que importan cuando confía sus secretos a alguien.
- Funciona en Google Cloud, con las claves custodiadas en Google Secret Manager
- Rotación de las claves de cifrado sin tiempo de inactividad
- Content Security Policy restrictiva y cabeceras de seguridad estrictas
- Limitación de peticiones en los endpoints de inicio de sesión y de claves
- Protección contra SSRF, límites de tamaño de las peticiones y cuotas de almacenamiento por workspace
- Los tokens de Google OAuth usados para sincronizar el directorio se cifran en reposo
- Extensión de navegador que nunca guarda secretos ni tokens en su dispositivo
- Pruebas de regresión automatizadas para el aislamiento entre organizaciones y la autorización
Preguntas frecuentes sobre seguridad
Los secretos se cifran en su navegador y de nuevo en nuestros servidores, y las claves se custodian en Google Secret Manager con un acceso muy restringido. Como la bóveda del equipo usa claves gestionadas en lugar de un diseño zero-knowledge, descifrar los datos es técnicamente posible para el propio servicio. Por eso ese acceso está blindado y por eso la clave maestra nunca está en la base de datos ni en el código. Los enlaces públicos para compartir son totalmente zero-knowledge.
Solo obtiene las contraseñas, notas y demás campos sensibles como datos con doble cifrado. La segunda capa usa una clave maestra que no está almacenada en la base de datos, por lo que una copia, por sí sola, no se puede leer. Los nombres de los elementos, los nombres de usuario y las direcciones web no están cifrados.
Donde usted elija: en nuestra base de datos alojada en Google Cloud, en su propio Google Drive o en su propio proyecto de Google Firestore, en la ubicación que prefiera. Los archivos adjuntos siguen siempre la misma elección.
Como no hay contraseña maestra, no se pierde nada con ella. Cuando Google suspende la cuenta o notifica que está comprometida, Vaultiqo cierra sus sesiones de inmediato. Una vez restablecida la cuenta en Google Workspace, un administrador de Vaultiqo restablece el acceso.
Escríbanos a hello@vaultiqo.app con los detalles. Nos tomamos en serio cada informe y le responderemos rápidamente.
Compruébelo usted mismo
Instale Vaultiqo desde Google Workspace Marketplace y pruébelo con su equipo. 14 días gratis, sin tarjeta de crédito.