Self-Serve Security
Cifrado de credenciales de conocimiento cero, transporte / OAuth y retención de datos para Edison Watch.
Estas son las protecciones que recibe cada tenant de Edison Watch de forma predeterminada, sin necesidad de un contrato de empresa.
Cifrado de Credenciales
Edison usa cifrado de conocimiento cero para las credenciales almacenadas. No se almacenan claves de cifrado en el servidor.
| Tipo de credencial | Cifrada con | ¿Clave almacenada? |
|---|---|---|
| Credenciales de usuario | Clave personal del usuario | Nunca -- solo hash |
| Credenciales de admin | Clave de dominio (opcional) | Nunca -- solo hash |
La clave del usuario es un compuesto de segmentos tipados: user:{personal_key}.admin:{org_key}[.role:{name}:{key} ...], entregada al servidor en el encabezado de solicitud X-Edison-Secret-Key y nunca persistida. Cada secreto almacenado se cifra con una clave AES-256-GCM derivada mediante HKDF-SHA256, usando un parámetro info de edison-secret:{context} donde {context} identifica de forma única el secreto (p. ej. server:template_key). Esta derivación basada en contexto le da a cada secreto su propia clave derivada sin que el servidor almacene nunca material de clave.
Transporte y Autenticación
- Auth: API keys firmadas con HMAC o SAML 2.0/OIDC.
- Transporte: TLS 1.2+ obligatorio.
- Aislamiento: Los clientes se comunican únicamente con el servidor de Edison; sin acceso directo del cliente a backends MCP.
Retención de Datos
| Tipo de Dato | Registrado | Retención (Predeterminada) |
|---|---|---|
| Llamadas a Herramientas | Metadatos y Parámetros | 90 días |
| Resultados | Salida truncada | 90 días |
| Eventos de Seguridad | Cambios de indicadores y Bloqueos | 1 año |
| Aprobaciones | Decisiones de usuarios | 1 año |
Privacidad: Los contenidos de archivos sin procesar y los historiales completos de conversaciones no se rastrean ni se almacenan en los servidores de Edison.