Seguridad
Cómo se manejan los datos de su tenant.
Las pruebas y los datos compartidos residen en el proyecto Postgres de Supabase compartido en la UE (París); un espacio de trabajo de pago tiene su propio proyecto de Supabase en la región elegida al comprar. Los agentes del dispositivo aplican la política localmente; el edge de la nube almacena la política, los eventos de bloqueo y los registros de inscripción, con ámbito por tenant, bajo Spot Cloud B.V.
-
Inicio de sesión Spot Suite OIDC
El inicio de sesión en la consola utiliza su cuenta de Spot Suite a través de Spot Suite OIDC en spot-cloud.spot-suite.com, con inicio de sesión único de Microsoft Entra ID en el plan Business. Los agentes del dispositivo nunca ven las contraseñas de los usuarios.
-
Datos por tenant
Las pruebas y los datos compartidos residen en el proyecto Postgres de Supabase compartido en la UE (París); un espacio de trabajo de pago tiene su propio proyecto de Supabase en la región elegida al comprar.
-
Datos con ámbito de tenant
La política, los eventos de bloqueo y los registros de inscripción tienen el ámbito de su tenant. Las filas no cruzan los límites de los clientes.
-
Residencia de datos
Las pruebas se ejecutan en la UE; un espacio de trabajo de pago se ejecuta en la región elegida al comprar, y su base de datos se almacena allí. Sea cual sea la región, los archivos de paquetes compartidos (R2) y el volcado de copia de seguridad horario se guardan en el almacenamiento de objetos de Cloudflare en Europa Occidental, sin estar vinculados a una jurisdicción de la UE. Operado por Spot Cloud B.V.
-
Registro de auditoría y exportación
Los eventos de bloqueo registran dispositivo, dominio, categoría, origen y marca temporal. La consola exporta los últimos 25 eventos como CSV o JSON.
-
Credenciales del dispositivo con hash
Los agentes gestionados se autentican con claves API csk_ por dispositivo, con hash sha256 en el servidor. Las claves se almacenan con permisos 0600 en el endpoint.
-
Paquetes de indicadores firmados
Los feeds de amenazas se envían como paquetes gzip firmados con ed25519. Los agentes verifican la firma antes de aplicar los indicadores; la caché sin conexión conserva el último paquete verificado.
-
Sin descifrado TLS
La aplicación es solo DNS. Los dominios bloqueados se desvían mediante sinkhole a una página de bloqueo local. Sin inspección TLS, archivo PAC ni puerta de enlace de red en la ruta de la política. En Linux, un sitio HTTPS bloqueado puede mostrar una advertencia de certificado del navegador en lugar de la página de bloqueo.
-
GDPR · DORA · NIS2
Los controles de la plataforma están mapeados a GDPR, DORA y NIS2. La evidencia de auditoría y el paquete de mapeo de controles se comparten bajo NDA.
¿Preguntas sobre la arquitectura?
Reserve una demostración de 30 minutos: aislamiento de tenants, credenciales de dispositivos, paquetes firmados y el registro de auditoría.