Cifrado y sesiones¶
Contraseñas y autenticación¶
Las contraseñas se almacenan con hash, nunca en texto claro. La autenticación de dos factores TOTP está disponible por usuario. LDAP/AD y OIDC delegan la autenticación al proveedor.
Cifrado de campos¶
Los campos de configuración sensibles se pueden cifrar con una clave Fernet. Los administradores disponen de rotación de claves. Rota las claves con cuidado: el texto cifrado existente debe volver a cifrarse con la clave nueva.
Documentos almacenados¶
El almacenamiento puede usar archivos locales o MinIO/S3. El cifrado en reposo opcional depende del despliegue. Se usa almacenamiento direccionado por contenido y detección de duplicados para los blobs.
Secretos¶
Los secretos de integración incluyen el secreto de sesión, la pimienta HMAC de las claves de API y la clave compartida de BPM. Guárdalos en el gestor de secretos del despliegue, no en el control de código, y rótalos periódicamente.
Sesiones y seguridad del navegador¶
- Las sesiones del servidor se guardan en Redis.
- Las solicitudes del navegador usan protección CSRF.
- Una Política de Seguridad de Contenido con nonces restringe los scripts.
- Las sesiones embebidas de BPM pueden ser de solo lectura.
- TLS es obligatorio en producción.
SAML¶
SAML es un esqueleto en esta versión. Usa autenticación local, LDAP/AD u OIDC.