Seguridad integrada en cada capa
Residencia de datos en la UE, TLS 1.2+ en tránsito, cifrado a nivel de campo para tokens sensibles, una política de divulgación RFC 9116 y una respuesta ante incidentes comprometida por escrito. Esto es exactamente lo que hace KS-Agents, con quién se comparten los datos y cómo notificar un problema.
Compromisos concretos, no lugares comunes
Las cuatro cifras que importan a un administrador de workspace que evalúa KS-Agents frente a un checklist enterprise.
Cómo informar de un hallazgo
Divulgación coordinada, en texto plano, sin NDA que firmar antes de informar. Los investigadores que actúan de buena fe quedan protegidos frente a acciones legales.
Reconocer
Respuesta humana desde [email protected] que confirma la recepción & asigna un ID de seguimiento.
Triaje
Severidad valorada (alineada con CVSS), reproducción confirmada y ticket interno abierto con plazo de divulgación.
Remediar
Objetivos firmes por severidad: crítica <30 d, alta <60 d, media <90 d. Se mantiene informado al investigador.
Reconocer
Reconocimiento por escrito del hallazgo y, con el consentimiento del investigador, un agradecimiento público en las release notes.
En alcance Informar de esto
- ks-agents.com y todos los subdominios (producción, staging, marketing).
- Las APIs REST y GraphQL de KS-Agents.
- La Slack app de KS-Agents: slash commands, Events API, flujo OAuth, interactividad.
- El bot de Microsoft Teams de KS-Agents.
- Todos los dashboards de cara al cliente, incluidas las vistas integradas.
Fuera de alcance No hace falta
- Ingeniería social, phishing, ataques físicos.
- DoS / DDoS volumétrico o fuzzing de rate-limit.
- Ausencia de headers de buenas prácticas sin un impacto demostrable.
- Vulnerabilidades en servicios de terceros que utiliza KS-Agents (informar al proveedor).
- Resultados de escáner sin validar y sin un PoC elaborado a mano.
Defensa en profundidad, capa a capa
Lo que se hace de verdad, no lo que prometería una página de marketing. Cada línea de abajo corresponde a un código, una configuración o un contrato concreto.
Identidad y acceso
Opciones de autenticación que cumplen los requisitos de procurement enterprise.
- SSO con Entra ID (OIDC) para el login de todo el tenant
- Alternativas con Google OAuth y LinkedIn OAuth
- Aprovisionamiento de usuarios con SCIM 2.0
- MFA obligatorio en las cuentas del personal
- Concesión de permisos por usuario en la capa de Slack
Protección de datos
TLS en tránsito, cifrado a nivel de campo para tokens sensibles y almacenamiento residente en la UE.
- TLS 1.2+ en todo el tráfico, HSTS preload
- Fernet (AES-128-CBC + HMAC-SHA256) para los tokens de bot & los registros del módulo de auditoría
- Master key por entorno, rotada en cada entorno
- Snapshots diarios de la base de datos, se conservan los 7 más recientes
- Cloudflare R2 jurisdicción UE para los archivos de cliente
Hardening de las integraciones
Específicamente para las integraciones de Slack y Teams.
- Verificación HMAC-SHA256 en cada webhook de Slack
- Tolerancia de timestamp de 5 minutos (prevención de replay)
- Deduplicación por Event-ID mediante Redis (TTL de 1 hora)
- Aislamiento entre tenants aplicado a nivel de base de datos
- Tokens de magic-login: TTL de 2 min, un solo uso, consumo atómico
Quién trata los datos y dónde
El conjunto mínimo necesario para operar la plataforma. Standard Contractual Clauses firmadas con cada proveedor fuera de la UE. Lista completa y DPAs en /legal/subprocessors/.
| Proveedor | Propósito | Región |
|---|---|---|
| Hetzner | Hosting de aplicación + base de datos | UE · Finlandia |
| Cloudflare R2 | Almacenamiento de objetos (archivos, exportaciones) | Jurisdicción UE |
| OpenAI | Inferencia LLM (texto, embeddings) | Endpoint UE donde esté disponible |
| Google Cloud (Vertex AI) | Inferencia LLM (voz, texto) | europe-west4 (NL) |
| Microsoft Azure OpenAI | Inferencia LLM (alternativa UE) | Sweden Central |
| Requesty | Capa de enrutamiento LLM (ZDR) | Proxy sin estado |
| Stripe | Facturación y suscripciones | Global, SCC firmadas |
| Postmark / Resend | Correos transaccionales | EE. UU., SCC firmadas |
| Iubenda | Política de privacidad y gestión del consentimiento | UE |
Con honestidad sobre lo que hay y lo que no
Transparencia sobre qué frameworks se implementan activamente y cuáles están en el roadmap. Sin promesas de marketing imposibles de demostrar.
Aplicados activamente En vigor
- GDPR: DPA disponible en /legal/dpa/, supresión del Art. 17 en un plazo de 30 días.
- RFC 9116: security.txt publicado & actualizado.
- EU Data Privacy Framework: conforme con Schrems II, SCCs firmadas allí donde los datos salen de la UE.
- Pentesting continuo interno con AI (herramienta Shannon).
En el roadmap Aún no
- Test de penetración externo formal.
- Cifrado en reposo para el volumen de Postgres (LUKS) y los snapshots de la base de datos.
¿Has encontrado algo? Comunícalo primero.
Quienes informan de buena fe y dentro de esta política quedan protegidos frente a acciones legales. Reconocimiento por escrito al investigador en cada hallazgo aceptado.
[email protected]