Haltless está construido en multi-inquilino sobre una cadena de auditoría inviolable diseñada para aportar evidencias SOC 2. PostgreSQL Row-Level Security ata cada consulta al inquilino actual, la autenticación multifactor está integrada en la aplicación y se recomienda para todos los usuarios y un registro de auditoría HMAC-SHA256 conservado durante siete años da a los auditores una traza inviolable. Actualmente no contamos con certificaciones SOC 2 ni ISO 27001, y no lo afirmaremos en el sitio hasta que un auditor lo haya firmado.
Última actualización: 1 de octubre de 2026
El agente de borde se ejecuta dentro de su red y lee localmente de PLC e historians. Las conexiones son solo de salida: del agente a los controladores y del agente a nuestra nube por TLS 1.3. Sin túnel inverso ni exposición entrante de su red OT. Las tramas de protocolo crudas se analizan localmente; solo las métricas normalizadas viajan a la nube.
Haltless aún no está certificado en ISO 27001. Nuestro sistema de gestión de seguridad de la información sigue los controles definidos en la norma, con evaluaciones de riesgo documentadas, revisiones de acceso, diligencia debida sobre proveedores y gestión del cambio. El estado de certificación aparecerá aquí solo cuando un auditor externo lo haya firmado.
Haltless aún no está certificado en SOC 2 Type II. Sí operamos conforme a los Trust Services Criteria para seguridad, disponibilidad y confidencialidad, con procedimientos documentados de registro, alerta y respuesta a incidentes revisados de forma continua y ejercitados en simulacros. El estado de certificación aparecerá aquí solo cuando un auditor externo lo haya firmado.
Cómo la plataforma protege los datos del inquilino en reposo y demuestra que nada ha sido manipulado.
Cada fila del registro de auditoría lleva un número de secuencia monótono y un hash HMAC-SHA256 encadenado a la fila anterior. Mutaciones, eliminaciones y reordenamientos producen discrepancias que el sistema detecta automáticamente. Un trigger de base de datos solo de añadidos bloquea las eliminaciones sin un indicador de retención explícito. Su pista de auditoría es criptográficamente inmutable.
Cada tabla con ámbito de inquilino lleva una política de seguridad a nivel de fila en PostgreSQL que vincula las consultas al inquilino actual. Combinado con middleware de contexto de inquilino con alcance de transacción y ámbito a nivel de API, un administrador de inquilino físicamente no puede alcanzar los datos de otro inquilino. Aislamiento aplicado desde la consulta hasta el endpoint.
Una Adenda de Procesamiento de Datos firmada, el seguimiento de la base legal y la residencia de datos en EE. UU. están disponibles desde el primer día. Usted conserva la propiedad total de los Datos del Cliente y puede solicitar exportación o eliminación en cualquier momento. La DPA completa, incluidas las Cláusulas Contractuales Tipo de la UE, el UK IDTA y el Contrato Tipo de China, está publicada en el sitio.
El tráfico entre los edge agents y nuestro backend está protegido con TLS 1.3 y material de claves por inquilino. Los Datos Personales del Cliente en reposo se cifran con AES-256, los secretos de MFA con una clave independiente, y la telemetría del Cliente permanece en los Estados Unidos.
Cómo los usuarios prueban quiénes son, con o sin su proveedor corporativo de identidad.
Contraseña mínima de 12 caracteres, rotación cada 90 días con prevención de reutilización, throttling de inicio de sesión por IP y por usuario, y MFA basada en TOTP con secretos cifrados en reposo. La verificación de correo electrónico es obligatoria antes del primer inicio de sesión.
Inicio de sesión único a nivel de inquilino mediante OpenID Connect con PKCE, contra su propio proveedor de identidad corporativo, como Okta, Microsoft Entra ID o Google Workspace. Los usuarios se crean en su primer inicio de sesión, así que el acceso se gestiona en un solo lugar.
El registro centralizado, la detección de anomalías y el escaneo continuo de vulnerabilidades alertan directamente al fundador, y cada incidente sigue un manual de respuesta documentado. Hoy Haltless es una sola persona, así que detrás de esas alertas no hay un equipo de seguridad las 24 horas. Preferimos decirlo aquí antes de que lo descubra un cuestionario de seguridad.
Cómo se delimitan, renuevan y revocan las credenciales emitidas a gran escala.
Los tokens de acceso se mantienen solo en memoria, nunca en localStorage. Los tokens de refresco viven en cookies HttpOnly con SameSite=Lax. Las sesiones son revocables por dispositivo, y las rotaciones son rutinarias, no excepcionales.
Una sola escritura en la base de datos invalida todos los tokens emitidos para un usuario o inquilino. Se activa automáticamente al cambiar la contraseña, registrar MFA o detectar actividad sospechosa. Sin limpieza dispersa de sesiones.
SOBERANÍA DE DATOS
Los Datos del Cliente se almacenan en los Estados Unidos. Las transferencias transfronterizas están cubiertas, según el destinatario, por las Cláusulas Contractuales Tipo de la UE Módulo 2, el UK IDTA, el Contrato Tipo de China para la Transferencia Transfronteriza de Información Personal o el Marco de Privacidad de Datos UE-EE. UU. La lista actual de subencargados, con la región real de tratamiento por proveedor, figura en el Anexo III de la Adenda de Procesamiento de Datos.
Lea la Adenda de Procesamiento de DatosDivulgación de vulnerabilidades
Escriba a security@haltless.io en inglés o húngaro. El mensaje llega directamente al fundador. Esto cubre haltless.io y sus subdominios, incluidos el portal de clientes y la documentación para desarrolladores, y el Haltless Edge Agent.
Qué ha encontrado, dónde y los pasos para reproducirlo. Una prueba de concepto ayuda. Si se ha topado con datos personales, descríbalos en lugar de enviarlos.
Confirmamos la recepción de su informe en un plazo de tres días hábiles (hora del Centro de EE. UU.), le mantenemos al tanto mientras trabajamos en ello y le avisamos cuando esté corregido.
No acceda a datos ajenos ni los modifique o elimine, no haga pruebas de denegación de servicio ni de carga, no recurra al phishing ni a la ingeniería social y no pruebe la seguridad física. Denos un plazo razonable para corregir el problema antes de publicarlo; aspiramos a 90 días y acordaremos la fecha con usted.
Si sigue esta política, consideramos su investigación autorizada y no emprenderemos acciones legales contra usted por ella. No hay un programa de recompensas (bug bounty) remunerado.
Los mismos datos de contacto, en formato legible por máquina: /.well-known/security.txt
PREGUNTAS FRECUENTES
No. El agente es solo saliente. Se conecta hacia la nube de Haltless por TLS 1.3, con TLS mutuo opcional, y no hay vía entrante hacia él ni túnel inverso. Nada en la red OT tiene que aceptar una conexión desde fuera.
Los datos de inquilino se alojan en Estados Unidos. Cada inquilino queda aislado a nivel de base de datos con row-level security de PostgreSQL, así que el aislamiento lo impone la base de datos y no un código de aplicación que tiene que acordarse de filtrar.
Puede cambiar una fila. No puede hacer que el cambio verifique. Cada fila lleva una secuencia monótona por inquilino, un hash de la fila anterior y una firma HMAC-SHA256 sobre su carga canónica, firmada con una clave que guarda la aplicación y no la base de datos.
Todavía no, y decir lo contrario sería justo el tipo de afirmación que esta plataforma existe para hacer comprobable. Haltless está alineada con los Trust Services Criteria de SOC 2; la observación Tipo II está prevista para 2027 y hoy no existe informe de atestación.
Cuéntenos cómo son sus máquinas y le enviamos un presupuesto a medida por máquina, normalmente en unas cuatro horas. Sin hardware nuevo, sin sensores propietarios, sin consultores.
Usamos cookies para recordar sus elecciones y mantener el spam fuera de nuestros formularios. Con su permiso, también medimos cómo se usa el sitio.
Su navegador envía una señal Global Privacy Control, así que todas las categorías opcionales permanecen desactivadas salvo que las active aquí. Si activa una categoría o elige «Aceptar todo», esa elección prevalece sobre la señal solo en este sitio.
Recuerdan esta elección y, hasta que cierre el navegador, el idioma que elija. Cloudflare Turnstile mantiene el spam fuera de nuestros formularios y solo se carga cuando empieza a rellenar uno. No se pueden desactivar.
Guardan el idioma que elija durante 12 meses, en lugar de solo hasta que cierre el navegador.
Google Analytics, que usa cookies, mide qué páginas se visitan y de dónde llegan los visitantes.
Reservada para medir campañas. Hoy nada en este sitio la utiliza: no usamos cookies de marketing ni de publicidad.
