Para empresas
Sus agentes son más inteligentes
que sus políticas.
Un agente de IA que entiende su base de código también puede entender su modelo de control de acceso. La seguridad basada en políticas es una negociación con algo que mejora en la negociación. Clavitor reemplaza las políticas con matemáticas.
Matemáticas, no políticas
Otras soluciones añaden una casilla de IA a una bóveda existente. El agente obtiene acceso MCP: buscar, explorar, descubrir. Es más inteligente que usted. Encontrará casos extremos en sus políticas. Enumerará credenciales que nunca debió ver. No porque sea malicioso, sino porque eso es lo que hacen los agentes cuando se les da un punto de acceso de búsqueda y un objetivo.
Clavitor no otorga a los agentes acceso a la bóveda. Emite credenciales específicas a agentes específicos a través de una API restringida. Sin exploración. Sin descubrimiento. Sin enumeración. Sin punto de acceso de búsqueda. El agente obtiene lo que se le ha emitido y no puede encontrar lo que no tiene. Esto no es una opción de configuración ni un interruptor de política; así es como funciona el protocolo. No existe ningún punto de acceso orientado al agente que devuelva una lista de credenciales. La capacidad no existe en el binario.
Además, cada token de agente queda vinculado a una IP de origen en el primer contacto. La lista de permitidos puede ser actualizada por un administrador, pero un token robado utilizado desde una IP no incluida en ella es rechazado antes de que se ejecute ningún manejador. Y cada agente tiene límite de frecuencia: más de tres credenciales únicas por minuto o diez por hora activan una limitación. Una segunda infracción en el plazo de dos horas bloquea al agente por completo, congelado hasta que su equipo de seguridad lo desbloquee mediante una confirmación por hardware. Un agente normal necesita dos o tres credenciales. Un agente que accede a diez está mal configurado o comprometido. En cualquier caso, se detiene.
El resultado: el radio de impacto de un agente comprometido queda acotado a su alcance, desde su IP, a una frecuencia que activa el bloqueo antes de que pueda producirse una exfiltración significativa. No mediante una regla que pueda eludirse, sino por la ausencia de una vía que lo permitiera.
Diseñado para su equipo de seguridad
Límites aplicados por hardware
Cada operación administrativa (crear tokens de agente, modificar alcances, cambiar listas de acceso, revocar credenciales) requiere una confirmación física mediante huella dactilar, reconocimiento facial o clave de seguridad de una persona autorizada. Esta no es una puerta de software que un proceso privilegiado pueda eludir. Es un desafío criptográfico que requiere un dispositivo registrado en la mano de alguien.
Ningún agente puede escalar sus propios permisos. Ninguna estación de trabajo comprometida puede emitir nuevos tokens. Ningún ataque de ingeniería social puede engañar a alguien para que conceda acceso por teléfono: se requiere la confirmación por hardware, y está vinculada al origen del navegador. Su equipo de seguridad controla el límite de confianza con algo que ningún atacante puede replicar de forma remota.
Aislamiento criptográfico
La bóveda de cada empleado es una base de datos cifrada independiente, no una fila en una tabla compartida ni un espacio de nombres en un almacén multiinquilino. Una brecha en una bóveda produce texto cifrado. La clave de cifrado no está en el servidor, no en la copia de seguridad, no en ningún centro de datos.
Los alcances controlan qué entradas puede ver un agente. Los niveles de cifrado controlan qué puede descifrar cualquier persona. Las tarjetas de crédito y los documentos de identidad oficiales se cifran automáticamente en el nivel de identidad: solo con clave de hardware, indescifrables sin el dispositivo físico. Su empresa puede promover cualquier campo a ese nivel: accesos bancarios, credenciales de adquisición, sistemas de RR. HH., claves de firma. Estos campos son texto cifrado en cada servidor, en cada copia de seguridad, en cada escenario de brecha. Las claves de descifrado no se encuentran ubicadas junto a los datos que protegen.
Cumplimiento normativo
SOC 2 Tipo II
Controles auditados para seguridad, disponibilidad y confidencialidad. La auditoría cubre las operaciones de infraestructura, la gestión de accesos, el tratamiento de claves de cifrado y la respuesta a incidentes. Informes disponibles bajo NDA para clientes empresariales que evalúan la plataforma.
ISO 27001
Sistema de gestión de seguridad de la información certificado. Cubre el ciclo de vida completo, desde el aprovisionamiento de la bóveda hasta la emisión y eliminación de credenciales y la retención de copias de seguridad. El alcance de la certificación incluye todos los Puntos de Presencia (POP), la infraestructura de administración central y el canal de desarrollo.
SLA de lectura del 99,99 %
99,99 % de tiempo de actividad en lecturas. Conmutación por error entre hemisferios entre Calgary y Zúrich, dos ubicaciones elegidas por su estabilidad geológica y distancia máxima. Si no alcanzamos el objetivo, recibirá un crédito de un mes completo en su próxima factura. Automático, sin formulario de reclamación, sin negociación. El SLA es contractual, no aspiracional.
Integración
Sincronización de directorios SCIM
El empleado se incorpora en Azure AD, Okta o Google Workspace: la bóveda se aprovisiona automáticamente. Alcances asignados por pertenencia a grupos. El empleado causa baja: la bóveda se congela, se revocan todos los tokens, se bloquea el acceso a todos los agentes. Sin limpieza manual, sin tickets, sin «¿alguien recordó rotar las credenciales?».
El aprovisionamiento es en tiempo real, no por lotes. La bóveda de un nuevo empleado está lista antes que su portátil. El acceso de un empleado que causa baja desaparece antes de que llegue al aparcamiento.
Integración SIEM
Flujo en tiempo real a Splunk, Datadog o Sentinel. Cada acceso a credenciales, cada intento fallido, cada violación de alcance, cada creación de token, cada rotación. No un resumen diario, sino un flujo en directo de eventos estructurados sobre los que su SOC puede configurar alertas.
Cuando un agente accede a más de tres credenciales únicas por minuto, o diez por hora, se limita automáticamente su frecuencia. Una segunda infracción activa un bloqueo total. Su SIEM recibe el evento antes de que se complete la siguiente solicitud del agente.
Auditoría y atribución
Cada acceso a credenciales se atribuye a un actor específico, humano o agente. No «alguien con la contraseña compartida». Un nombre, un alcance, una marca de tiempo, una IP de origen. Cuando su CISO pregunte quién accedió a la base de datos de producción a las 2:00 de un martes, la respuesta estará a una consulta de distancia.
Las rotaciones de contraseñas tienen la misma atribución. Qué credencial cambió, quién la activó, qué agentes recogieron el nuevo valor. Si una rotación interrumpe una implementación, puede rastrearla hasta el cambio exacto en cuestión de segundos.
Esto está siempre activo. Sin configuración. Sin necesidad de activación. El registro de auditoría es su evidencia de cumplimiento normativo, su herramienta de respuesta a incidentes y su respuesta a cualquier regulador que pregunte cómo controla el acceso a sistemas sensibles.
Precios empresariales
Precios por usuario. Tres agentes por usuario. Precio de por vida: su tarifa nunca aumentará. Ni después de un año. Ni después de cinco años. Ni después de que su plantilla se duplique. Podemos aumentar las tarifas para nuevos clientes, pero su tarifa queda fijada en su nivel, en su moneda, durante toda la vigencia de su suscripción.
Hablemos.
Sus agentes ya están aquí. Su capa de credenciales también debería estarlo.