Arquitectura de seguridad

Cada secreto se cifra con una clave de cifrado de datos (DEK) única. La propia DEK se cifra con una clave maestra de AWS KMS, creando un envelope de dos capas.

Las claves maestras se gestionan con AWS KMS dentro de la Unión Europea. Las claves nunca salen del perímetro de KMS. CifraVault no tiene acceso al material bruto de las claves.

Para los secretos server-encrypted, el payload almacenado se elimina del almacenamiento de objetos cuando el secreto caduca, alcanza su límite de consultas, se abre con burn-after-read activado o se elimina. Para los secretos end-to-end, el ciphertext almacenado solo se borra con el burn y puede permanecer tras la caducidad, el agotamiento de consultas o la eliminación. En ambos casos se conservan metadatos y entradas de auditoría; los archivos adjuntos conservan su propio ciclo de vida.

Correo, SMS y app de autenticación TOTP. Cada canal se verifica de forma independiente. Configurable por secreto.

Límites de frecuencia por plan, contadores de intentos de OTP y bloqueo automático tras intentos de verificación fallidos.

Con burn-after-read activado, el payload de texto del secreto se elimina al alcanzar su límite de consultas y el enlace al texto deja de funcionar. Los archivos adjuntos no se ven afectados: conservan su propia caducidad, su propio presupuesto de accesos y su propia revocación.

ID de solicitud, fecha y hora, identidad del autor, acción y resultado registrados para cada operación. Los registros no se pueden modificar ni eliminar durante el período de retención.

El contenido de los secretos, las claves de cifrado y los registros de auditoría se almacenan en infraestructura ubicada en la Unión Europea. La distribución de contenidos y el procesamiento de pagos implican proveedores que también operan fuera de la UE con garantías de transferencia documentadas; el Data Processing Agreement recoge cada uno de ellos.

La retención de los registros de auditoría sigue la ventana del plan elegido, como se documenta en nuestra Data Retention Policy, con extensiones contractuales disponibles para Enterprise. Los estados de retención sin resolver se gestionan a prueba de fallos — no se elimina nada hasta que se corrigen.

En los planes Business y Enterprise, los registros de auditoría que se acercan al final de su ventana de retención activan una notificación al propietario y un periodo de gracia, y el propietario del espacio de trabajo puede solicitar una exportación de los registros de auditoría antes de que la eliminación continúe. La exportación cubre los registros de auditoría, no otros datos del producto.