Seguridad
Tu agente usa tus cuentas, no tus contraseñas.
Cada promesa de esta página tiene detrás un mecanismo concreto de la plataforma. Si no lo tenemos, no lo prometemos.
Trabajamos con proveedores de fuera de la UE, todos en el registro de subencargados, y en Enterprise, a petición del cliente, limitamos tu entorno a proveedores que tratan sus datos en el Espacio Económico Europeo.
Nuestras promesas
Lo que nunca hacemos y lo que siempre puedes parar.
Seis compromisos, cada uno con el mecanismo que lo cumple dentro del producto.
Tus contraseñas no llegan al agente
El agente tiene un señuelo con la forma de cada contraseña, clave o tarjeta. El valor real solo se pone de camino al sitio al que pertenece.
✓ Señuelos en el entorno · canje en el destino
Cada credencial, en sus sitios
Una credencial del Vault se usa en los sitios que fijaste para ella, y en cualquier otro solo con una aprobación.
✓ Credenciales ligadas a sus sitios
Tú decides qué se aprueba
Exige aprobación para todo lo que escribe un agente, solo para algunas herramientas o destinos, y guarda tu respuesta para las siguientes veces.
✓ Aprobación por acción · decisiones guardadas
Ves lo que hace, mientras lo hace
El navegador del agente se ve en directo, puedes tomar el control o detener la ejecución, y cada acción queda registrada con quién la aprobó.
✓ Navegador en directo · registro de acciones
Cada entorno, separado
Las reglas de acceso de la base de datos y las comprobaciones del servidor separan cada entorno de trabajo, y cada ejecución corre en su propia máquina aislada.
✓ Seguridad por fila · un sandbox por ejecución
Tus datos son tuyos
No entrenamos modelos con ellos. Se conservan doce meses, o lo que fijes en Enterprise, y al eliminar un entorno se borran también de las copias.
✓ Retención por entorno · registro de supresiones
Debajo de las promesas
Todo lo que hay detrás.
Las medidas concretas, agrupadas por dónde actúan.
Identidad y acceso
- Una cuenta por persona, con correo verificado. Inicio de sesión con Google o Microsoft, y SAML con SCIM en Enterprise.
- Segundo factor TOTP para quien lo active, y obligatorio en todo el entorno cuando su propietario lo exige en Enterprise.
- Roles por entorno de trabajo y permisos por recurso.
- Claves de API que se muestran una sola vez, se guardan como hash y admiten caducidad y permisos acotados.
- Bloqueo tras intentos fallidos, aviso por correo ante cualquier cambio de contraseña, correo o factores, y registro de cada inicio de sesión durante doce meses.
Credenciales y secretos
- Las credenciales de clientes se cifran bajo una clave raíz que solo existe cifrada por AWS KMS.
- Contraseñas, claves y tarjetas entran en el entorno del agente como señuelos, y se canjean solo en la salida hacia su destino o al rellenar el campo del sitio.
- Cuando un agente usa la credencial de otra persona, el navegador pasa a un modo protegido: sin JavaScript ni depuración para el agente, y con los campos ocultos en cada captura.
- Las imágenes del servidor se construyen sin credenciales, y los secretos de la plataforma se entregan al arrancar.
Agentes y ejecución
- Una máquina aislada por ejecución, que nunca se comparte.
- Aislamiento de procesos, archivos y red en cada comando.
- Con una política de red, la salida a internet pasa por un proxy que solo deja llegar a los destinos permitidos.
- Los archivos de clientes y contactos se analizan dentro del entorno aislado, nunca en nuestros servidores.
- Las direcciones marcadas por Google Safe Browsing se bloquean, salvo en los entornos limitados a proveedores europeos.
- Topes de gasto y detección de bucles en cada ejecución.
Infraestructura
- Base de datos, API y aplicación web alojadas en Fráncfort.
- TLS 1.2 o superior en cada conexión externa, y HSTS en la web, la aplicación y la API.
- Cifrado en reposo de la base de datos, el almacenamiento y los discos.
- La API se publica a través de Cloudflare, con mitigación de ataques de denegación de servicio en el borde.
- Sin SSH desde internet: los servidores se administran a través de AWS Systems Manager.
- Registro de auditoría de la cuenta de AWS durante doce meses y detección de amenazas con aviso al equipo de seguridad.
- Copias diarias de la base de datos en la misma región de la UE.
Registro y respuesta
- Cada cambio de configuración, seguridad o permisos queda registrado con su autor y su estado anterior.
- Cada herramienta que usa un agente queda registrada con sus argumentos, su resultado y la aprobación que recibió.
- Alertas de disponibilidad, autenticación, base de datos, servidores y entornos de ejecución.
- Página de estado pública en status.vibetasking.com, también dentro de la aplicación.
- Te avisamos sin demora de una brecha que afecte a tus datos, y siempre antes de 48 horas.
Desarrollo y dependencias
- Dependencias con hash bloqueado e imagen base fijada por su resumen.
- Escaneo de vulnerabilidades en las dependencias cada semana y en cada cambio del backend, y análisis de paquetes maliciosos.
- Un inventario de software (SBOM) en cada despliegue de la API.
- El despliegue se bloquea si la imagen arrastra una vulnerabilidad pasado el plazo que fija su gravedad.
Por escrito
Lo que firmas, para leerlo.
Prestamos el servicio en el perfil BÁSICO de su Categorización del Sistema conforme al Esquema Nacional de Seguridad, con declaración de conformidad en categoría BÁSICA, y en el perfil MEDIO en Enterprise bajo acuerdo.
Divulgación responsable
¿Has encontrado un fallo?
Escríbenos con los pasos para reproducirlo, también si unas Content Credentials que firmamos no son conformes. No pruebes contra datos de otros clientes ni contra la disponibilidad del servicio. Denuncia aquí también los abusos: phishing, malware o spam en una web o una vista previa de vibetasking.app, vibetasking.site o vibetasking.dev. Revisamos cada informe y te contamos qué hicimos.