On this page
Seguridad
La seguridad en Mind One protege los datos maestros en todas las capas: autenticación, autorización, transmisión y almacenamiento.
Autenticación
Métodos disponibles
| Método | Descripción |
|---|---|
| Email + contraseña | Credenciales gestionadas por Mind One con JWT (access token 2h + refresh token 7d) |
| OAuth — Google | Autenticación delegada a Google |
| OAuth — Azure AD | Autenticación delegada a Microsoft Azure AD |
Tokens JWT
Mind One usa tokens JWT para la autenticación:
- Access token: válido por 2 horas. Se envía en cada solicitud.
- Refresh token: válido por 7 días. Permite obtener un nuevo access token sin re-autenticarse.
- Los tokens se renuevan automáticamente mientras el usuario está activo.
Recuperación de contraseña
- El usuario solicita un restablecimiento desde la pantalla de login.
- Recibe un correo con un enlace tokenizado.
- Establece una nueva contraseña.
Control de acceso (RBAC)
El modelo de control de acceso se basa en roles con permisos predefinidos. Cada usuario tiene un rol por tenant que determina qué acciones puede realizar.
Principios
- Mínimo privilegio: cada usuario recibe solo los permisos necesarios.
- Aislamiento por tenant: los datos de un tenant son invisibles para usuarios de otros tenants.
- Permisos por recurso: los permisos se evalúan por tipo de recurso (workspaces, datagrids, etc.) y acción (ver, crear, editar, eliminar).
- Row Level Security (RLS): los permisos pueden aplicarse a nivel de fila, restringiendo qué registros concretos puede ver o editar cada usuario dentro de un datagrid según su rol o atributos de identidad.
Evaluación de permisos
Cuando un usuario intenta una acción:
- Se identifica su rol en el tenant actual.
- Se verifican los permisos del rol para el recurso y la acción solicitada.
- Si el permiso existe, se permite la operación. Si no, se deniega.
Cifrado
En tránsito
Todas las comunicaciones se realizan sobre HTTPS/TLS. Esto incluye:
- Acceso a la interfaz web.
- Llamadas a la API.
- Comunicación WebSocket para realtime.
- Autenticación OAuth.
En reposo
Los datos sensibles se cifran en reposo:
- Credenciales de conexiones a data warehouses.
- Tokens de API.
- Datos de integración.
La clave de cifrado se configura mediante la variable ENCRYPTION_KEY.
Aislamiento multi-tenant
Cada tenant opera de forma completamente aislada:
- Los datos de un tenant no son accesibles desde otro.
- Los usuarios solo ven los recursos del tenant activo.
- Las consultas a la base de datos incluyen filtros de tenant automáticos.
- El cambio de tenant requiere re-autenticación del contexto.
Política de backup y recuperación ante desastres
Backup
- Frecuencia: copias de seguridad automáticas con periodicidad diaria.
- Retención: los backups se conservan durante un mínimo de 30 días.
- Alcance: se incluyen todos los datos de tenant — workspaces, datagrids, value lists, conexiones, usuarios y configuración.
- Almacenamiento: los backups se almacenan en una ubicación geográfica distinta a la de los datos en producción.
- Verificación: los backups se verifican automáticamente para garantizar su integridad y recuperabilidad.
Recuperación ante desastres (DRP)
- RTO (Recovery Time Objective): tiempo máximo estimado para restaurar el servicio tras un incidente grave.
- RPO (Recovery Point Objective): pérdida máxima de datos aceptable, determinada por la frecuencia de los backups.
- Failover automático: en caso de fallo de la infraestructura principal, el sistema redirige el tráfico automáticamente a la infraestructura de respaldo.
- Entornos de recuperación: Mind One mantiene entornos de recuperación en regiones geográficas separadas para garantizar la continuidad del servicio ante desastres regionales.
- Pruebas periódicas: los procedimientos de recuperación se prueban de forma regular para verificar que los tiempos y los datos recuperados cumplen los objetivos definidos.
Para obtener los valores exactos de RTO y RPO aplicables a tu plan, contacta con el equipo de Mind en support@wearemind.io.
Rate limiting
La API aplica throttling global de 100 solicitudes por minuto por usuario para prevenir abuso.
Buenas prácticas
- Limita los administradores: mantén el mínimo necesario de usuarios con rol Admin.
- Usa OAuth cuando sea posible: centraliza la autenticación en tu proveedor de identidad corporativo.
- Revisa los accesos periódicamente: desactiva usuarios que ya no necesiten acceso.
- Protege las API keys: no compartas API keys en repositorios públicos. Revócalas si se comprometen.
- Usa contraseñas robustas: mínimo 8 caracteres con combinación de tipos.
Relacionado
- Usuarios y Roles — Gestión de roles y permisos.
- Configuración — API keys y configuración del tenant.
- Acceso y Login — Métodos de autenticación.