Cada empleado tendrá un agente.
¿Está preparado?

El problema

Una bóveda de empresa. Una bóveda personal por empleado.

La bóveda de empresa contiene credenciales compartidas: claves de API, cuentas de servicio, contraseñas de bases de datos. Con alcance limitado por equipo. La bóveda personal de cada empleado es suya: sus inicios de sesión, sus campos de identidad, cifrados con su propia clave de hardware.

La bóveda de empresa no tiene campos de identidad. Nada personal va aquí. Las bóvedas personales son privadas: la empresa no puede acceder a ellas. Por diseño. Por matemáticas.

Con alcance limitado desde el primer día

Abra la interfaz web, cree un agente o invite a un miembro del equipo, asigne un alcance. Cada actor, humano o agente, solo ve las entradas dentro de su alcance. La bóveda verifica cada solicitud, la sirve o la deniega. Sin estado. Sub-milisegundo.

El agente de despliegue no puede leer las credenciales de desarrollo. El bot de soporte no puede leer las claves de despliegue. El equipo de finanzas ve Stripe pero no GitHub. Su nuevo empleado de marketing ve los inicios de sesión de redes sociales pero no la base de datos de producción. Cada token codifica exactamente a qué entradas puede acceder, nada más, nada descubrible.

Los alcances funcionan igual para personas y agentes. Un nuevo empleado obtiene un alcance en la bóveda de la empresa que coincide con su rol: ingeniería, finanzas, operaciones. Ve lo que su rol requiere. Cuando su rol cambia, el alcance cambia. Las credenciales no.

Las personas vienen y van. Las credenciales no.

Nuevo empleado empieza el lunes: cree su bóveda personal, asigne los alcances de su rol y estará trabajando en minutos. Sin contraseñas compartidas que entregar, sin documento de incorporación con "la clave de Stripe está en el documento compartido de Google".

Alguien se va el viernes: revoque sus tokens en todas las bóvedas compartidas con un solo clic. Su bóveda personal se va con él. Las credenciales en la bóveda de la empresa nunca cambian. Sin evento de rotación. Sin "¿ya hemos cambiado la clave de AWS?". Sin emergencia de fin de semana.

Esta es la diferencia entre compartir contraseñas y emitir credenciales. Una bóveda de contraseñas compartida significa que cada salida es un evento de rotación. Clavitor significa que cada salida es una revocación de token: instantánea, completa e invisible para los demás miembros del equipo.

Cada acceso atribuido

Cada acceso a credenciales se registra: qué agente, qué persona, qué credencial, cuándo y desde dónde. Cuando una revisión de seguridad pregunta "¿quién accedió a la base de datos de producción el jueves pasado?", tiene la respuesta en segundos. No "alguien con la contraseña compartida", sino un nombre, un alcance, una marca de tiempo.

Las rotaciones de contraseñas se rastrean de la misma manera. Cuando una credencial cambia, el registro de auditoría graba quién la activó y qué agentes recogieron el nuevo valor. Si una rotación rompe un despliegue, lo rastrea hasta el cambio exacto.

Esto se ejecuta siempre, en todas las bóvedas. Sin configuración. Sin opción de participar. El registro de auditoría es su prueba de cumplimiento y su herramienta de respuesta a incidentes.

Tres niveles de cifrado

La bóveda de la empresa solo contiene campos de nivel de credencial. Sin datos de identidad, sin información personal, sin tarjetas ni pasaportes. La bóveda personal de cada empleado es solo suya: cifrada con su propia clave de hardware, invisible para el administrador de la empresa. Por diseño. Por matemáticas.