Aislado por defecto. Auditable por diseño.
Cada espacio de trabajo queda sellado a nivel de base de datos con la seguridad a nivel de fila de Postgres (FORCE + WITH CHECK en cada tabla acotada por inquilino), así que un inquilino nunca puede leer, escribir ni siquiera contar los datos de otro. Los roles, los secretos, la MFA y un registro de auditoría completo son propiedades de ese motor, no líneas de un presupuesto: son idénticos en un espacio de trabajo de prueba y en Enterprise.
Seguridad a nivel de fila, no promesas de la capa de aplicación
Multiinquilino bien hecho: el aislamiento es una garantía de la base de datos, no un filtro que tu código deba recordar aplicar. Cada tabla acotada por inquilino lleva una política FORCE + WITH CHECK ligada al inquilino actual, así que el límite se mantiene incluso cuando el código de la aplicación no lo hace.
- FORCE ROW LEVEL SECURITY + WITH CHECK en cada tabla acotada por inquilino, no una opción que un desarrollador pueda olvidar activar.
- 58 tablas llevan el límite de aislamiento en el motor de la base de datos, no en el middleware de la aplicación.
- Una cláusula WHERE ausente, una consulta filtrada o un error en el código de la app siguen sin poder devolver las filas de otro inquilino.
- Las cuentas de servicio y los trabajos en segundo plano se ejecutan dentro del mismo conjunto de políticas: no hay ruta de elusión privilegiada.
Secretos sellados en reposo, claves que puedes rotar
Ninguna credencial queda en disco de forma legible. Las claves de API se almacenan únicamente como un hash SHA-256 de un solo sentido, así que no hay nada que robar; los tokens OAuth y las credenciales de conectores se cifran con Fernet antes de escribirse, se descifran solo en memoria por el servicio que los necesita, y quedan acotados para que una sola credencial filtrada no comprometa el espacio de trabajo.
- Las claves de API se almacenan como un hash SHA-256 de un solo sentido: se muestran una vez al crearlas y nunca se pueden recuperar de la base de datos.
- Los secretos se descifran solo en memoria, bajo demanda, por el servicio que los necesita: nunca se registran en texto plano.
- Las claves tienen alcance limitado y son rotables, así que una credencial comprometida puede revocarse sin tocar el resto de tu espacio de trabajo.
- Los tokens OAuth y los secretos de conectores (Mailjet, webhooks) se cifran con Fernet en reposo con una clave rotable.
Lo que pedirá tu equipo de seguridad
Los controles que convierten un piloto en un despliegue: propiedades del motor sobre el que funciona cada espacio de trabajo, no un paquete de seguridad que negocias por separado.
Doble factor con TOTP para usuarios, OTP por correo para operadores, además de verificación de correo obligatoria al registrarse.
Cada cambio relevante queda registrado: quién hizo qué, cuándo y sobre qué registro, exportable para su revisión.
Los roles de propietario, administrador, gerente, miembro y visor controlan cada acción, con una consola de administración dedicada para usuarios y permisos.
Las cuentas y las bajas siguen gobernadas por tu IdP mediante SCIM. El inicio de sesión único SAML / OIDC es bajo petición: habla con nosotros sobre los plazos.
Los flujos de exportación y eliminación convierten las solicitudes de los titulares de datos en un botón, no en un proyecto.
El consentimiento se registra por contacto y por canal, así que tu equipo puede ver el estado de aceptación en la ficha antes de que salga cualquier comunicación.
TLS cubre cada salto (del navegador a la API y al trabajador en segundo plano) sin ningún tramo sin cifrar.
Los tiempos de vida de sesión configurables mantienen los tokens de acceso de corta duración, así que el radio de impacto de una sesión filtrada queda acotado por el reloj.
La interfaz del producto —navegación, pantallas, formularios y correos transaccionales— está localizada en inglés, francés, español y japonés. Cada persona elige su idioma y queda guardado en su perfil, así que la acompaña entre dispositivos; los usuarios nuevos empiezan con el predeterminado de tu espacio de trabajo.
Un motor, muchos inquilinos, cero cruce. Tus datos son tuyos, separados a nivel de fila, sellados en reposo, aprovisionados desde tu proveedor de identidad y registrados de extremo a extremo.
Preguntas que hará tu equipo.
Cada tabla acotada por inquilino aplica la seguridad a nivel de fila de Postgres con FORCE + WITH CHECK: el aislamiento se garantiza en la base de datos, no en la capa de aplicación. Un error en el código de la app, una cláusula WHERE ausente o una consulta filtrada siguen sin poder cruzar inquilinos.
De dos formas distintas, a propósito. Una clave de API nunca se almacena de forma recuperable: guardamos solo un hash SHA-256 de un solo sentido, así que una base de datos filtrada no da ninguna clave funcional. Los tokens OAuth y las credenciales de conectores sí necesitan reutilizarse, así que se cifran con Fernet en reposo y se descifran solo en memoria, bajo demanda, por el servicio que los necesita.
Sí: doble factor con TOTP para usuarios, OTP por correo para operadores, además de verificación de correo obligatoria al registrarse y registros de auditoría completos en cada evento de autenticación.
Cada cambio relevante (creación de registros, ediciones, eliminaciones, cambios de permisos, inicios de sesión) con quién, cuándo y qué cambió, exportable para tu propia revisión o para una solicitud de cumplimiento.
El acceso basado en roles (propietario, administrador, gerente, miembro, visor) controla cada acción, con un panel de administración para usuarios, configuración de seguridad, aplicación de MFA y registros de auditoría.
El aprovisionamiento, sí: SCIM mantiene altas, cambios y bajas al día con tu proveedor de identidad en lugar de una hoja de cálculo, así que dar de baja a alguien es una sola acción en el sistema en el que ya confías. El inicio de sesión único SAML / OIDC está disponible bajo petición; cuéntanos tus plazos y lo definimos contigo.
Los flujos de exportación y eliminación GDPR convierten una solicitud de titular de datos en un botón, no en un proyecto, y el consentimiento se registra por contacto y por canal, así que tu equipo puede ver el estado de aceptación en la ficha antes de que salga cualquier comunicación.
Sí: TLS cubre cada salto, del navegador a la API y a los trabajadores en segundo plano, junto con el cifrado en reposo para los datos y secretos almacenados.