Quién entra dónde. Y ninguna contraseña fuera de su sitio.
Para quién
Para empresas y administraciones donde las contraseñas viven en hojas de cálculo, en correos y en la cabeza de alguien, y donde nadie puede decir con seguridad quién tiene acceso a qué.
El problema
La contraseña del servidor está en un mensaje de hace dos años. Varias personas comparten el mismo usuario. Alguien se fue y sigue pudiendo entrar. Y ahora el equipo pega claves en un asistente de IA para que le ayude.
Cómo lo resolvemos
Hacemos la lista de quién entra dónde y la dejamos como debe estar: cada persona con su usuario y solo con lo que necesita. Las contraseñas y las claves pasan a un gestor de secretos y de ahí no salen: ni a ficheros, ni a chats, ni al modelo de IA.
Qué incluye
Inventario de accesos
Quién entra dónde, con qué permisos y desde cuándo.
Un usuario por persona
Sin cuentas compartidas y con segundo factor donde se pueda.
Gestor de secretos
Las contraseñas y las claves, en un solo sitio y con registro de quién las lee.
Altas y bajas
Cuando alguien entra o se va, sus accesos se dan y se quitan con una lista, no de memoria.
Credenciales filtradas
Las buscamos en el código y en su historial entero.
Barrera para la IA
Los agentes trabajan sin ver las credenciales.
Cómo trabajamos
Empezamos por el inventario: sistemas, usuarios y secretos, y dónde está cada uno hoy. Movemos los secretos al gestor y cambiamos los que hayan estado expuestos. Después, una revisión periódica de accesos: quién sigue necesitando qué. Quién accede a cada cosa lo decide siempre una persona de tu empresa.
Qué medimos
Cuentas compartidas que quedan, accesos sin segundo factor, secretos fuera del gestor, credenciales encontradas en repositorios y fecha de la última revisión de accesos.
Cómo está hecho
Los secretos están en un gestor (usamos Infisical), separados por proyecto y por entorno. Las aplicaciones y los despliegues los reciben al ejecutarse; no se guardan en el repositorio, en ficheros de configuración ni en un chat. Cada lectura queda registrada.
Buscamos credenciales filtradas en el historial completo de cada repositorio, y en cada cambio antes de integrarlo. Si aparece una, no basta con borrarla: se cambia.
Con la IA, una barrera bloquea cualquier orden de un agente que mostraría una credencial, así que los secretos no llegan al modelo. Cada agente tiene permisos mínimos y un alcance cerrado. Esa barrera nació de lo que aprendimos al aplicar en nuestra empresa los controles del Esquema Nacional de Seguridad.
Los entornos internos y de preproducción van detrás de un acceso con identidad (Cloudflare Access, con el inicio de sesión corporativo), sin contraseñas compartidas. Donde la aplicación lo permite, añadimos un segundo factor.
Preguntas frecuentes
¿Qué es un secreto?
Cualquier dato que da acceso: contraseñas, claves de API, certificados y tokens. Se tratan igual: en el gestor y en ningún otro sitio.
¿Los agentes de IA ven mis contraseñas?
No. Una barrera bloquea cualquier orden que mostraría una credencial, y los secretos no llegan al modelo de IA.
¿Tenemos que cambiar de herramientas?
No necesariamente. Si ya tienes un gestor de contraseñas, partimos de él y lo ordenamos. Si no, te proponemos uno.
¿Qué pasa cuando alguien deja la empresa?
Sus accesos se retiran siguiendo una lista y se cambian los secretos que conocía. Para eso sirve saber quién entra dónde.
También en Seguridad
Auditoría de seguridad
De tu código y de tus aplicaciones, con cada hallazgo comprobado dos veces.
Pruebas de intrusión
Periódicas, autorizadas y con el alcance pactado.
El siguiente paso
Cuéntanos cómo trabaja hoy tu empresa y te decimos por dónde empezar.