Tus claves privadas permanecen en tu infraestructura.
La conexión se inicia desde tu red.
Sentinel consulta sus tareas en Nocert y envía sus observaciones por HTTPS. Nocert no necesita iniciar ninguna conexión entrante a tu red.
Nocert, por HTTPSTu tráfico TLS no pasa por Nocert.
Nocert no interviene en el tráfico TLS de tus servicios. Si Nocert no está disponible, tus servicios siguen atendiendo conexiones TLS.
Nocert supervisa certificados. No los emite, renueva, despliega ni revoca.
Tú eliges qué analiza Sentinel.
Tras registrarse mediante un token, Sentinel firma sus solicitudes con Ed25519 (RFC 9421). Consulta las tareas pendientes en Nocert y envía los resultados por HTTPS. Puedes desactivar por separado los análisis de red, archivos, servicios locales y Kubernetes.
Si Nocert se ve comprometido
Si Nocert se viera comprometido, podrían quedar expuestos los datos del espacio de trabajo y podrían solicitarse los análisis que hayas habilitado. Sentinel no proporciona acceso a una consola remota.
Acceso y aislamiento
Acceso a las cuentasAutenticación de dos factores y roles dentro de la organización.
Las contraseñas se almacenan como hashes Argon2id; la autenticación de dos factores utiliza TOTP. Los roles de propietario, operador y lector controlan el acceso. Business y Custom incluyen inicio de sesión único mediante OIDC y asignación de roles.
Protección de datosAnálisis aislado, acceso limitado a cada organización y secretos cifrados.
Los certificados se analizan en procesos temporales de nsjail con límites de recursos y sin acceso a la red. Las consultas de datos se limitan a la organización autenticada. Las credenciales de los conectores y los secretos de configuración se cifran con AES-256-GCM, mediante una clave almacenada fuera de la base de datos.
¿Qué datos salen de tu red?
Certificados en formato DER, huellas digitales y cadenas de certificados observadas.
Direcciones IP, puertos, configuración TLS, rutas de archivos y ubicaciones de objetos de Kubernetes, según los modos de análisis que actives. El análisis de archivos también puede advertir de permisos excesivos en las claves privadas, sin enviar las claves.
Al registrarse, el agente envía su clave pública de firma y metadatos del equipo, como el nombre de host, el sistema operativo, la dirección IP y las subredes. Su clave privada de firma y las credenciales de Kubernetes permanecen en el equipo.
Nocert no cuenta con certificación ISO 27001 ni con un informe SOC 2.
Revisa el agente que instalas.
El código de Sentinel es público y está disponible bajo la licencia Apache 2.0. Puedes leerlo, descargar una versión firmada y compilarlo por tu cuenta.
Dónde se alojan los datos
Los datos de la aplicación se alojan en OVHcloud, en Francia y Alemania. Otros proveedores se encargan de los análisis, la distribución web y las notificaciones.
- OVHcloudDatos de la aplicación
- Francia y Alemania
- ScalewayServicios intermediarios de análisis y alertas
- UE · Tratamiento transitorio
- CloudflareProtección y distribución web
- Red mundial · Sede en EE. UU.
Los proveedores de red, pagos y correo electrónico pueden tratar datos fuera del EEE conforme al acuerdo de tratamiento de datos. Los proveedores de pagos no reciben datos de los análisis de certificados; los correos de alerta pueden incluir información sobre certificados y nombres de host.
Custom permite alojar Nocert en tu propia infraestructura.
Notificar una vulnerabilidad
¿Has encontrado un problema de seguridad? Usa nuestra página de contacto o los datos de notificación publicados en security.txt.