Seguridad nivel banco
Cómo protegemos las cuentas de tus clientes, con especificaciones técnicas verificables.
SSL Labs
TLS 1.3 · HSTS · OCSP Stapling
(se abre en otra pestaña)A+HTTP Observatory
120 / 100 · 12 / 12 tests
(se abre en otra pestaña)Zero-Knowledge Links
La clave nunca toca el servidor
OWASP ZAP
0 críticos · 0 altos · scan pasivo
Privacidad y cifrado
Cómo protegemos tus credenciales
Las credenciales que guardás se cifran en el servidor con AES-256-GCM antes de almacenarse en la base de datos. El servidor procesa el valor para cifrarlo, pero nunca lo persiste en texto plano.
Los links de compartir son zero-knowledge: la clave de descifrado viaja solo en el fragmento de URL (#k=…), que el navegador nunca envía al servidor. El descifrado ocurre completamente en el navegador del destinatario — el servidor almacena solo texto cifrado y no puede leerlo.
Arquitectura de cifrado
Cifrado en reposo y en tránsito
Las credenciales viajan sobre TLS 1.3 y se cifran en el servidor con AES-256-GCM antes de persistirse. La clave de cifrado (ENCRYPTION_KEY) vive en variables de entorno del servidor, separada de la base de datos.
Flujo al guardar una credencial
- 1Ingresás la credencial en el formulario — viaja al servidor sobre TLS 1.3.
- 2El servidor cifra el valor con AES-256-GCM (IV aleatorio de 12 bytes + auth tag de 16 bytes).
- 3Solo el ciphertext se persiste en la base de datos. La clave de cifrado no se almacena junto a los datos.
- 4Para compartir: se genera una clave efímera y la clave de descifrado va solo en el fragmento de URL.
Algoritmo de cifrado
AES-256-GCM
Derivación de clave
scrypt (N=32768)
Cifrado de links
AES-256-GCM + clave efímera
Transporte
TLS 1.3 obligatorio
Compartir sin riesgos
Links a prueba de intrusos
Cuando compartís una credencial — con un compañero o con un asistente de IA — Bóveda KF-1 nunca expone la contraseña en texto plano. En su lugar, genera un enlace dinámico de un solo uso con una clave efímera embebida en el fragmento de URL (#k=…).
La clave de descifrado viaja exclusivamente en el fragmento — esa parte de la URL que el navegador nunca envía al servidor. El servidor almacena el ciphertext pero es matemáticamente imposible que lo descifre.
Integración con IA (Claude Code · Skill KF-1)
La skill genera un link seguro mediante la API. El agente ve el link pero nunca ve la contraseña. El secreto solo se revela cuando vos abrís el link en tu navegador. Cada link expira en 1 hora.
- Cada link es único y de un solo uso — reutilizarlo es imposible.
- Podés revocar cualquier link activo en cualquier momento desde el dashboard.
- Rate limiting: máximo 20 req/min por IP en el endpoint público.
Control y auditoría
Control total desde tu panel
Cada acción sobre una credencial compartida queda registrada en el audit log. El dashboard te muestra exactamente qué pasó, quién lo hizo, y desde dónde.
Qué registra el audit log
- Acción: Creación, visualización, denegación o revocación del link
- Actor: Email o cuenta que generó el link
- IP de acceso: Dirección IP anonimizada del visitante
- Agente de IA: Nombre de la skill o cliente que solicitó el link
- Timestamp: Fecha y hora exacta (UTC)
Para usuarios avanzados
Transparencia tecnológica
El sistema opera sin infraestructuras intermedias innecesarias. No hay proxies propietarios, no hay servicios de terceros con acceso a tus datos cifrados.
Stack técnico verificable
La ejecución criptográfica ocurre íntegramente en el cliente, eliminando puntos de falla centralizados. El servidor es un repositorio de texto cifrado — sin valor si es comprometido.
¿Tenés preguntas de seguridad? Contactanos · Política de privacidad