Self-Serve Security
Criptografia zero-knowledge de credenciais, transporte / OAuth e retenção de dados no Edison Watch.
Estas são as proteções que todo tenant do Edison Watch recebe out of the box - sem necessidade de contrato enterprise.
Criptografia de Credenciais
O Edison usa criptografia zero-knowledge para credenciais armazenadas. Nenhuma chave de criptografia é armazenada no servidor.
| Tipo de credencial | Criptografada com | Chave armazenada? |
|---|---|---|
| Credenciais do usuário | Chave pessoal do usuário | Nunca -- apenas hash |
| Credenciais de admin | Chave de domínio (opcional) | Nunca -- apenas hash |
A chave do usuário é um composto de segmentos tipados: user:{personal_key}.admin:{org_key}[.role:{name}:{key} ...], entregue ao servidor no cabeçalho de requisição X-Edison-Secret-Key e nunca persistida. Cada segredo armazenado é criptografado com uma chave AES-256-GCM derivada via HKDF-SHA256, usando um parâmetro info de edison-secret:{context}, em que {context} identifica o segredo de forma única (por exemplo, server:template_key). Essa derivação baseada em contexto dá a cada segredo sua própria chave derivada sem que o servidor jamais armazene material de chave.
Transporte & Auth
- Auth: API keys assinadas com HMAC ou SAML 2.0/OIDC.
- Transporte: TLS 1.2+ obrigatório.
- Isolamento: Os clientes se comunicam apenas com o servidor Edison; não há acesso direto do cliente aos backends MCP.
Retenção de Dados
| Tipo de Dado | Registrado | Retenção (Padrão) |
|---|---|---|
| Tool Calls | Metadata e parâmetros | 90 dias |
| Results | Saída truncada | 90 dias |
| Eventos de Segurança | Mudanças de flag e bloqueios | 1 ano |
| Approvals | Decisões do usuário | 1 ano |
Privacidade: O conteúdo bruto dos arquivos e os históricos completos de conversação não são rastreados nem armazenados nos servidores do Edison.