Seguridad y datos
Qué recolecta Hopix, dónde vive y cómo se protege
Esta página describe cómo funciona Hopix hoy, en palabras simples. Para un cuestionario de seguridad o el detalle completo del tratamiento de datos, escríbenos.
Arquitectura
Agentes que solo hablan hacia afuera
Sin puertos de entrada
Los agentes se conectan hacia afuera por HTTPS cifrado en el puerto 443. Nada escucha en el equipo y ninguna regla del firewall tiene que cambiar.
Una identidad por agente
Cada agente recibe sus propias credenciales al enrolarse, y se renuevan solas. Se pueden rotar en cualquier momento, y un agente se puede revocar desde la consola.
Comandos firmados
Los agentes solo aceptan comandos firmados por la nube de Hopix, y verifican cada firma antes de actuar.
Actualizaciones firmadas
Las actualizaciones van firmadas y se verifican en el equipo antes de instalarse. Los agentes solo pasan a versiones más nuevas, y vuelven atrás si una versión nueva no arranca.
Acceso
Tenants aislados, inicio de sesión fuerte
Aislamiento en el servidor
Cada cliente es un tenant. El servidor limita cada petición a un tenant, así que el aislamiento no depende de la interfaz.
Inicio de sesión
- Inicio de sesión único SAML 2.0 por tenant
- Roles desde los grupos de tu directorio con el inicio de sesión único
- Passkeys y apps de autenticación; MFA obligatorio por tenant
- Los códigos equivocados repetidos pausan el ingreso con código y avisan al usuario
- Las contraseñas se guardan solo como un hash fuerte de una vía
- Las sesiones sin uso vencen solas
- Las acciones sensibles piden confirmar que eres tú
Mínimo privilegio y auditoría
Privilegios separados para administrar el tenant, administrar los agentes y cada vista. Los inicios de sesión, los cambios de usuarios, los comandos a los agentes, los tokens de la API y los cambios de ajustes quedan en la auditoría, que puedes exportar a tu SIEM por syslog con TLS o por HTTPS.
Cifrado en tránsito
Todo lo que viaja entre los agentes, los navegadores y la nube va cifrado con TLS. Los ajustes sensibles, como las direcciones de los webhooks, las credenciales del SIEM y los secretos de las apps de autenticación, además se cifran dentro de la aplicación.
Tokens de la API de solo lectura
Solo un administrador del tenant los crea. Un token lee un tenant, nunca ve más que su dueño, se puede limitar a tus redes, vence en un año como mucho y deja de servir en el momento en que se revoca. Su secreto se muestra una sola vez.
Cuánto se mide
Cada fuente de medición tiene su propio interruptor por sistema, y las nuevas llegan apagadas. Nuestro equipo fija el nivel de monitoreo y las fuentes que pidas, y la consola muestra qué fuentes corre cada agente y por qué una está apagada.
Datos
Exactamente qué envían los agentes
Cada agente mide en el equipo y envía solo resúmenes: cifras por minuto y registros de conexiones y descartes (IP, puerto y proceso). El agente de Windows no captura paquetes; en macOS y Linux el agente mira las cabeceras de los paquetes en el equipo y nunca recolecta su contenido. Los decodificadores de protocolos opcionales, apagados por defecto, conservan solo códigos, conteos, tiempos y versiones, y descartan el resto en el equipo. Ningún paquete ni contenido sale del equipo.
| Dato | Qué se envía |
|---|---|
| Equipo | Hostname, versión del sistema operativo, un hash de una vía del ID de la máquina, las direcciones IPv4 de sus adaptadores, los nombres de los usuarios con sesión iniciada (ocultos por defecto) y el estado de las fuentes de medición del agente. |
| Conexiones | Por minuto: IP y puerto remotos, protocolo, nombre del proceso (nunca su ruta), bytes, tiempo de ida y vuelta, retransmisiones y fallas. |
| DNS | Cada nombre de dominio consultado (por defecto, solo su dominio principal, salvo los dominios internos que indiques), su resultado, la primera dirección de la respuesta, la latencia y el proceso que preguntó. |
| Wi-Fi | Nombre de la red (SSID), señal, banda y canal; en Windows también el ID del punto de acceso (BSSID) y la dirección del adaptador. Por defecto, los nombres de las redes y los ID de los puntos de acceso se cambian por códigos, salvo las redes corporativas que indiques. El agente de Linux no tiene módulo de Wi-Fi. |
| Protocolos | Por minuto, de los protocolos que el equipo usa o sirve: operaciones, códigos de resultado, tiempos de respuesta, y las versiones y la seguridad negociadas. Los servidores por su dirección IP y su nombre; los recursos compartidos y otros recursos del servidor, solo como códigos. Con los decodificadores opcionales de macOS y Linux (apagados por defecto), también el nombre del servidor web o TLS, según el perfil de privacidad. Nunca nombres de usuarios, credenciales ni contenido. |
| Llamadas | Solo en Linux, con la fuente opcional de calidad de las llamadas (apagada por defecto): por minuto, de cada flujo de audio o video, sus paquetes, su pérdida, su jitter y la app. Nunca el sonido, la imagen ni la pantalla de una llamada, ni quiénes participaron. |
| Red local | Las rutas IPv4 y la tabla de vecinos (direcciones IP y MAC); por defecto, solo la entrada de la puerta de enlace. |
| Radar | Solo mientras un administrador corre una sesión: los destinos, cada salto, su latencia y su nombre de DNS inverso. |
| Recursos | CPU, memoria, disco y los procesos con más uso. |
Un perfil de privacidad por tenant
Un administrador del tenant elige cuánto detalle sale de los equipos: recomendado (el de por defecto), estricto o completo, para todo el tenant o para un agente. El agente lo aplica en el equipo, antes de enviar nada, y relajarlo exige volver a autenticarse.
Nunca se recolecta
- Lo que se teclea o lo que hay en pantalla
- URLs completas o el contenido de las páginas
- El contenido de los archivos
- Los paquetes, o lo que viaja dentro de tus conexiones: mensajes, archivos, resultados de consultas, contraseñas
- El sonido, la imagen o la pantalla de las llamadas
Dónde vive y cuánto tiempo
- Alojado en Estados Unidos
- La telemetría, también el historial de DNS y de Wi-Fi, se guarda 30 días en Essentials, 90 días en Pro, y 90 días en Enterprise; las muestras detalladas de señal Wi-Fi y las sesiones del Radar, 7 días en todos los planes
- Quitar un agente borra su telemetría
- Un administrador del tenant puede exportar todos los datos del tenant en cualquier momento, en JSON y CSV
- Sin servicios de analítica, publicidad ni rastreo en la consola ni en este sitio
Terceros
Pocos terceros, todos con nombre
Hopix corre sobre un proveedor de alojamiento en Estados Unidos, nombrado en nuestra lista de subencargados, que da el alojamiento, el DNS y el envío de correo. Fuera de eso, la nube solo se conecta a los destinos que tú configuras: tus URLs de Teams, Slack y webhooks, tu SIEM o tu plataforma de logs, y tu proveedor de identidad. Los scripts, las herramientas y los asistentes de IA que conectas con un token de la API leen solo lo que ese token permite.
¿Encontraste una vulnerabilidad? Escribe a security@valnetworksllc.com.
Mira Hopix en tu propia red
Agenda un recorrido de 30 minutos. Instalamos un agente contigo y miramos datos reales juntos.