Seguridad BYOK
Tus claves API cifradas con AES-256-GCM, protegidas por RBAC y con auditoría completa.
La seguridad de tus claves API es nuestra prioridad. Así las protegemos:
Medidas de protección
🔐 Cifrado AES-256-GCM
Todas las claves se cifran en reposo con AES-256-GCM antes de almacenarse.
👁️ Nunca visibles completas
Las claves nunca se muestran completas. Se expone un fingerprint enmascarado (ej: sk-ab...7x9f).
🛡️ Protegidas por RBAC
Owner/Admin pueden agregar, validar y eliminar claves (byok:manage). Manager/Member pueden ver estado y fingerprint enmascarado (org:read).
📋 Auditoría de acceso
Las operaciones de gestion BYOK (key_added, key_validated, key_validation_failed, key_deleted) quedan registradas en los audit logs (Enterprise).
Detalles técnicos
- Cifrado en reposo: AES-256-GCM con clave derivada de BYOK_ENCRYPTION_KEY.
- Cifrado en transito: HTTPS/TLS segun configuracion del entorno.
- Almacenamiento: Las claves no se almacenan en texto plano.
- Acceso: Las claves solo se descifran en memoria durante las llamadas API.
Mejores prácticas
- Permisos mínimos: Crea claves API solo con los permisos necesarios para speech services.
- Rotacion periodica: Rota tus claves cada 90 dias. Configura recordatorios en tu proveedor.
- No compartir: Nunca compartas claves API por email, Slack u otros canales.
- Monitorear uso: Revisa el dashboard de uso regularmente para detectar anomalías.
- Alertas de gasto: Configura alertas de gasto en cada proveedor para evitar sorpresas.
Control de acceso (RBAC)
El acceso a las claves BYOK está controlado según el rol del usuario en el workspace:
- Owner: Puede agregar, validar, eliminar claves y ver fingerprint enmascarado.
- Admin: Puede agregar, validar, eliminar claves y ver fingerprint enmascarado.
- Manager: Puede ver estado BYOK y fingerprint enmascarado (org:read).
- Member: Puede ver estado BYOK y fingerprint enmascarado (org:read).
En planes Enterprise, las operaciones de gestion BYOK (key_added, key_validated, key_validation_failed, key_deleted) quedan registradas en los audit logs con timestamp, usuario y resultado.
Protege tus claves
Configura BYOK con confianza sabiendo que tus claves están protegidas.
Configurar BYOK