Seguridad para identidades no humanas
Compara credenciales para automatizaciones y agentes
Define qué debe hacer la credencial. Después deja dos alternativas, compara lo documentado y guarda las preguntas para tu entorno.
La matriz comparativa se apoya en fuentes documentales. Incluye comprobaciones propias acotadas de Vault KV y Vault AppRole, separadas del resto. Consulta sus límites.
Prepara tu lista corta
Completa tu resumen en cuatro pasos
El estado refleja esta selección en el navegador. No evalúa ni recomienda alternativas.
- Pendiente: elige al menos una operación.
- Pendiente: deja exactamente dos alternativas.
- Pendiente: elige un criterio común.
- Pendiente: completa los pasos anteriores.
Define tu caso
Elige una o más operaciones. Esta elección organiza la comparación y el expediente; no filtra proveedores ni acredita compatibilidad.
Elige al menos una operación para definir tu caso.
Sitúa tu caso antes de elegir
Estos ejemplos son ficticios. Sólo sirven para nombrar la operación que debes documentar; no indican qué alternativa elegir ni prueban compatibilidad.
Puedes marcar la operación de este ejemplo y cambiarla después. Esta acción no elige proveedores ni prueba compatibilidad.
Una tarea necesita un valor que ya existe
Ejemplo ficticio: un proceso de despliegue debe leer una contraseña de base de datos que el equipo ya guardó.
Operación que debes documentar: Recuperar un secreto almacenado.
Siguiente comprobación: Documenta cómo se autentica la tarea ante el gestor y cómo se entrega y revoca ese acceso.
Un valor existente debe cambiarse
Ejemplo ficticio: el equipo debe reemplazar periódicamente una credencial que ya usa una integración.
Operación que debes documentar: Rotar un secreto.
Siguiente comprobación: Documenta quién cambia el destino, cómo recibe el valor nuevo y qué sucede con el anterior y con las sesiones abiertas.
Una tarea necesita acceso limitado en el tiempo
Ejemplo ficticio: un trabajo puntual solicita una credencial para un sistema de destino durante una ventana concreta.
Operación que debes documentar: Generar una credencial temporal.
Siguiente comprobación: Documenta destino, permisos, vencimiento y revocación antes de elegir dos alternativas para investigar.
Tu caso para este expediente:
Esta elección organiza tu expediente; no acredita que una alternativa sea compatible.
Tres alternativas seleccionadas.
Cierra una lista corta de dos alternativas
Reduce la comparación a dos alternativas y elige el criterio que decidirá si pasan a la siguiente fase. Verás, para cada opción, lo que sostienen las fuentes y una comprobación pendiente. El Rankeador no decide por ti: una laguna documental no prueba incompatibilidad y este resumen no sustituye tu ensayo.
Reduce la selección a dos alternativas y elige un criterio para preparar el resumen.
Criterio elegido:
Resumen de una elección del lector entre dos alternativas sobre un criterio común. Reúne declaraciones documentadas y comprobaciones pendientes; no es una puntuación, recomendación, certificación ni prueba de compatibilidad.
Copia en este navegador el mismo texto que la descarga: selección, fuentes, comprobaciones y límites. La página no guarda ni envía el resumen.
El resumen aparecerá aquí si necesitas copiarlo manualmente.
El enlace sólo conserva IDs cerrados de alternativas, operaciones y criterio en el fragmento de tu navegador. No incluye requisitos, secretos ni texto libre; la página no lo envía a un servidor.
El enlace aparecerá aquí para copiar.
El resumen se genera en este navegador: la página no lo guarda ni lo envía. El enlace incluido incorpora sólo identificadores cerrados de alternativas, operaciones y criterio en el fragmento; no contiene requisitos, secretos ni texto libre. Si la medición consentida está activa, sólo registra esos identificadores cerrados.
Elige la salida que necesitas conservar
Las tres salidas sirven para pasos distintos. Ninguna elige una alternativa ni sustituye una comprobación en tu entorno.
Expediente documental
Reúne las fuentes, condiciones y preguntas pendientes de las dos o tres alternativas que estás comparando.
Cuándo está disponible: Disponible al seleccionar dos o tres alternativas.
Límite: Describe lo que las fuentes permiten afirmar; no prueba compatibilidad ni rendimiento en tu entorno.
Plan de ensayo
Crea una plantilla con tus operaciones, alternativas y las mismas comprobaciones para documentar un ensayo autorizado.
Cuándo está disponible: Disponible al seleccionar dos o tres alternativas y al menos una operación.
Límite: Los resultados que anotes son tuyos; usa datos sintéticos y no incluyas secretos ni datos personales.
Resumen de decisión
Conserva un criterio común, la evidencia documentada y la comprobación pendiente de una lista corta de dos alternativas; también incluye un enlace para reabrir esa selección.
Cuándo está disponible: Disponible al seleccionar exactamente dos alternativas, al menos una operación y un criterio.
Límite: No es una puntuación, recomendación, certificación ni veredicto sobre las alternativas.
Crea una plantilla con las operaciones, alternativas y comprobaciones que acabas de elegir.
El contenido del TXT se genera en este navegador: no se guarda, no se incorpora a la URL y no se envía. Si la medición consentida está activa, sólo registra los identificadores cerrados de esta selección; no incluyas secretos ni datos personales en tu copia.
Descargar expediente completo de las tres alternativas. También puedes imprimir esta página con el menú del navegador.
Aclara qué debe hacer la credencial
En esta comparación, estas operaciones no son equivalentes. Identifica cuál o cuáles describen tu caso antes de comparar productos.
Recuperar un secreto almacenado
La automatización obtiene un valor que ya estaba guardado. Esto no demuestra que el gestor cree una credencial nueva en el sistema de destino.
Pregunta para tu caso: ¿Qué credencial usa para entrar al gestor y cómo se entrega y revoca?
Comprobaciones propias relacionadas: Vault KV · Vault AppRole.
Rotar un secreto
Cambiar el valor almacenado exige saber quién actualiza el destino y cuándo deja de funcionar el valor anterior. No presupone el cierre de sesiones existentes.
Pregunta para tu caso: ¿Quién cambia el valor en el destino, cómo se propaga y qué ocurre con las sesiones abiertas?
Generar una credencial temporal
El sistema emite o solicita una credencial para un destino y una vigencia concretos. El tiempo de vida (TTL) por sí solo no explica la revocación ni las conexiones ya establecidas.
Pregunta para tu caso: ¿Qué destino y permisos cubre, cuándo caduca y cómo se revoca antes del vencimiento?
Antes de probar la revocación: Al probar la revocación, identifica el objeto exacto: acceso al gestor, credencial emitida en el destino o sesión ya abierta. Invalidar uno no demuestra automáticamente los otros.
Diferencias que debes comprobar
Selecciona alternativas para ver sus diferencias.
| Criterio | HashiCorp Vault | Akeyless | 1Password |
|---|---|---|---|
| Acceso de máquinas ¿Cómo se autentica la automatización y qué credencial necesita para arrancar? | Declaración documentada HashiCorp Vault documenta AppRole como mecanismo para generar tokens destinados a autenticación de máquinas. Alcance y condicionesHashiCorp Vault AppRole · Global
Fuente revisada: 2026-10-16 · Revisar antes de 2026-11-15 Por comprobar: Confirmar entrega, custodia y revocación de las credenciales de AppRole. Comprobación propia relacionada: Vault KV local, 2026-09-13. No sustituye la comprobación de este criterio en tu entorno. Comprobación propia relacionada: Vault AppRole local, 2026-09-19. No sustituye la comprobación de este criterio en tu entorno. | Declaración documentada Akeyless documenta para el acceso de máquinas identidades cloud (AWS IAM, Azure AD, GCP IAM y OCI IAM), Universal Identity para máquinas on-premises, Kubernetes, certificados, OAuth2/JWT, API keys y Kerberos; el método debe asociarse a un rol para obtener permisos. Alcance y condicionesAkeyless Authentication Methods · Global
Fuente revisada: 2026-10-12 · Revisar antes de 2026-11-11 Declaración documentada Akeyless documenta Universal Identity para máquinas on-premises: un administrador crea el método y genera un token que debe asociarse a un rol; el token tiene TTL, puede rotarse —reiniciando su TTL y conservando funciones y permisos— y puede revocarse. Alcance y condicionesAkeyless Universal Identity · Global
Fuente revisada: 2026-10-12 · Revisar antes de 2026-11-11 Por comprobar: Elige el método que corresponde al entorno. Para Universal Identity on-premises, prueba por separado quién crea y entrega el token, el rol asociado, el TTL, la rotación y la revocación; no lo confundas con la credencial del sistema destino. | Declaración documentada 1Password documenta que sus SDK y cuentas de servicio permiten a agentes de IA recuperar secretos en tiempo de ejecución con acceso limitado a vaults concretos. Alcance y condiciones1Password Service Accounts y SDKs · Global
Fuente revisada: 2026-10-12 · Revisar antes de 2026-11-11 Declaración documentada 1Password documenta que una Service Account usa un token que puede proporcionarse mediante OP_SERVICE_ACCOUNT_TOKEN; el token sólo se muestra una vez y los vaults, Environments y permisos elegidos al crear la cuenta no se pueden ampliar ni editar después. Alcance y condiciones1Password Service Accounts · Global
Fuente revisada: 2026-10-12 · Revisar antes de 2026-11-11 Declaración documentada 1Password documenta que rotar un token de Service Account genera otro con los mismos permisos y permite fijar cuándo caduca el anterior; revocar un token retira inmediatamente su acceso a los vaults de 1Password. Alcance y condiciones1Password Service Accounts · Global
Fuente revisada: 2026-10-12 · Revisar antes de 2026-11-11 Por comprobar: Define vaults y permisos antes de crear la cuenta; documenta la custodia y entrega del token mostrado una vez. Al rotarlo, fija la transición del token anterior y prueba por separado la revocación: retira el acceso a vaults, no demuestra retirada de secretos ya recuperados ni cierre de sesiones destino. |
| Credenciales temporales y revocación ¿Necesitas generar credenciales temporales o recuperar un secreto ya almacenado? | Declaración documentada HashiCorp Vault se documenta como un sistema de gestión de secretos y cifrado basado en identidad que rota credenciales, genera credenciales bajo demanda y audita interacciones de clientes. Alcance y condicionesHashiCorp Vault · Global
Fuente revisada: 2026-10-16 · Revisar antes de 2026-11-15 Por comprobar: La declaración general de generación bajo demanda no concreta destino ni TTL. Confirmar motor, quién recibe la credencial, duración y revocación. WIF de plugins hacia cloud no acredita emisión a la automatización consumidora. Comprobación propia relacionada: Vault KV local, 2026-09-13. No sustituye la comprobación de este criterio en tu entorno. | Declaración documentada Akeyless documenta para el acceso de máquinas identidades cloud (AWS IAM, Azure AD, GCP IAM y OCI IAM), Universal Identity para máquinas on-premises, Kubernetes, certificados, OAuth2/JWT, API keys y Kerberos; el método debe asociarse a un rol para obtener permisos. Alcance y condicionesAkeyless Authentication Methods · Global
Fuente revisada: 2026-10-12 · Revisar antes de 2026-11-11 Declaración documentada La documentación de Akeyless define Dynamic Secrets como secretos generados cada vez que se solicitan para dar acceso temporal con permisos predefinidos, y permite revocar usuarios temporales de un destino. Alcance y condicionesAkeyless Dynamic Secrets · Global
Fuente revisada: 2026-10-12 · Revisar antes de 2026-11-11 Por comprobar: Probar expiración y revocación en el destino con los permisos del Gateway acordados. | Sin evidencia suficiente. No significa que la función no exista. Por comprobar: La evidencia seleccionada sobre recuperación de secretos no acredita generación dinámica. Pedir documentación del caso concreto. |
| Alcance de permisos ¿Puedes limitar el acceso a lo que exige este trabajo? | Declaración documentada HashiCorp Vault documenta AppRole como mecanismo para generar tokens destinados a autenticación de máquinas. Alcance y condicionesHashiCorp Vault AppRole · Global
Fuente revisada: 2026-10-16 · Revisar antes de 2026-11-15 Por comprobar: Probar que las políticas deniegan acciones fuera del trabajo previsto. Comprobación propia relacionada: Vault KV local, 2026-09-13. No sustituye la comprobación de este criterio en tu entorno. Comprobación propia relacionada: Vault AppRole local, 2026-09-19. No sustituye la comprobación de este criterio en tu entorno. | Declaración documentada La documentación de Akeyless define Dynamic Secrets como secretos generados cada vez que se solicitan para dar acceso temporal con permisos predefinidos, y permite revocar usuarios temporales de un destino. Alcance y condicionesAkeyless Dynamic Secrets · Global
Fuente revisada: 2026-10-12 · Revisar antes de 2026-11-11 Por comprobar: Asocia el método de autenticación a un rol y prueba rutas y acciones permitidas y denegadas en Akeyless; valida por separado los permisos predefinidos que el productor aplicará en el destino. | Declaración documentada 1Password documenta que sus SDK y cuentas de servicio permiten a agentes de IA recuperar secretos en tiempo de ejecución con acceso limitado a vaults concretos. Alcance y condiciones1Password Service Accounts y SDKs · Global
Fuente revisada: 2026-10-12 · Revisar antes de 2026-11-11 Declaración documentada 1Password documenta que una Service Account usa un token que puede proporcionarse mediante OP_SERVICE_ACCOUNT_TOKEN; el token sólo se muestra una vez y los vaults, Environments y permisos elegidos al crear la cuenta no se pueden ampliar ni editar después. Alcance y condiciones1Password Service Accounts · Global
Fuente revisada: 2026-10-12 · Revisar antes de 2026-11-11 Por comprobar: Prueba acceso permitido y denegado a los vaults e items relevantes. Como vaults y permisos no se editan después de crear la cuenta, documenta cuándo necesitarías crear otra Service Account; rotar el token conserva los permisos. |
| Registro de accesos ¿Podrás reconstruir qué identidad usó qué secreto y cuándo? | Declaración documentada HashiCorp Vault se documenta como un sistema de gestión de secretos y cifrado basado en identidad que rota credenciales, genera credenciales bajo demanda y audita interacciones de clientes. Alcance y condicionesHashiCorp Vault · Global
Fuente revisada: 2026-10-16 · Revisar antes de 2026-11-15 Por comprobar: Confirmar los campos, retención y exportación del registro para este caso. | Declaración documentada Akeyless documenta que sus Audit Logs muestran hora, acción, estado, cliente, dirección IP, tipo de acceso y producto; el formato raw añade secuencia por cuenta, Access ID, componente, duración, parámetros de solicitud y alcance y subclaims del cliente cuando se configuran. Alcance y condicionesAkeyless Audit Logs · Global
Fuente revisada: 2026-10-12 · Revisar antes de 2026-11-11 Por comprobar: Confirmar campos presentes, retención, integridad y exportación en la edición elegida. | Declaración documentada 1Password documenta que el Activity Log registra cuándo accede una cuenta de servicio a un secreto. Alcance y condiciones1Password Service Accounts · Global
Fuente revisada: 2026-10-12 · Revisar antes de 2026-11-11 Por comprobar: Confirmar detalle y retención de Activity Log en el plan elegido. |
| Edición y disponibilidad ¿La función que necesitas está disponible en la edición y entorno elegidos? | Declaración documentada HashiCorp documenta motores de secretos estáticos y dinámicos y registros de auditoría tanto en Vault Community como en Vault Enterprise; Community es autogestionado y Enterprise puede ser autogestionado o consumirse como HCP Vault. Alcance y condicionesHashiCorp Vault · Global
Fuente revisada: 2026-10-12 · Revisar antes de 2026-11-11 Por comprobar: Elige entre Community autogestionado y Enterprise autogestionado o HCP Vault. Confirma licencia, soporte, SLA, arquitectura, integración y condiciones aplicables en España. | Declaración documentada Akeyless presenta Pure SaaS como un servicio cloud plenamente gestionado y Hybrid SaaS con Gateways locales; en la tabla de Secrets Management publica para Free 5 clientes, 500 secretos estáticos, 5 secretos dinámicos y 5 secretos rotados, mientras Enterprise aparece con esas capacidades incluidas. Alcance y condicionesAkeyless Secrets Management · Global
Fuente revisada: 2026-10-12 · Revisar antes de 2026-11-11 Por comprobar: Elige Pure SaaS o Hybrid SaaS y contrasta los límites de Secrets Management de la edición seleccionada. Confirma Gateways, conectores, soporte, SLA, precio y condiciones aplicables en España. | Declaración documentada La documentación de Service Accounts fija una cuota diaria compartida de 50.000 solicitudes para una cuenta 1Password Business y 5.000 para una cuenta Teams. Alcance y condiciones1Password Service Accounts — Business y Teams · Global
Fuente revisada: 2026-10-12 · Revisar antes de 2026-11-11 Por comprobar: Estima las solicitudes de todas tus automatizaciones y contrasta la cuota compartida del plan y los límites horarios. Confirma permisos, entorno y condiciones contratables. Esta comparación no evalúa Credential Broker. |
Acceso de máquinas
¿Cómo se autentica la automatización y qué credencial necesita para arrancar?
HashiCorp Vault
Declaración documentada
HashiCorp Vault documenta AppRole como mecanismo para generar tokens destinados a autenticación de máquinas.
Alcance y condiciones
HashiCorp Vault AppRole · Global
- El método debe habilitarse y configurarse
- Las políticas determinan las acciones autorizadas
Fuente revisada: 2026-10-16 · Revisar antes de 2026-11-15
Por comprobar: Confirmar entrega, custodia y revocación de las credenciales de AppRole.
Comprobación propia relacionada: Vault KV local, 2026-09-13. No sustituye la comprobación de este criterio en tu entorno.
Comprobación propia relacionada: Vault AppRole local, 2026-09-19. No sustituye la comprobación de este criterio en tu entorno.
Akeyless
Declaración documentada
Akeyless documenta para el acceso de máquinas identidades cloud (AWS IAM, Azure AD, GCP IAM y OCI IAM), Universal Identity para máquinas on-premises, Kubernetes, certificados, OAuth2/JWT, API keys y Kerberos; el método debe asociarse a un rol para obtener permisos.
Alcance y condiciones
Akeyless Authentication Methods · Global
- Lista y asociación a rol declaradas por Akeyless; no prueban configuración, disponibilidad contractual ni funcionamiento en un entorno concreto
- El método aplicable depende del proveedor de identidad, la infraestructura, el Gateway y el tipo de cliente autorizados
- Asociar un método a un rol no demuestra por sí solo mínimo privilegio efectivo ni permisos correctos en el sistema destino
Fuente revisada: 2026-10-12 · Revisar antes de 2026-11-11
Declaración documentada
Akeyless documenta Universal Identity para máquinas on-premises: un administrador crea el método y genera un token que debe asociarse a un rol; el token tiene TTL, puede rotarse —reiniciando su TTL y conservando funciones y permisos— y puede revocarse.
Alcance y condiciones
Akeyless Universal Identity · Global
- Akeyless presenta Universal Identity para máquinas on-premises y afirma que evita un secreto inicial; El Rankeador no ha verificado esa afirmación en un entorno propio
- La creación, entrega, almacenamiento, rotación automática y retirada del token deben probarse con el Gateway y cliente elegidos
- Revocar el token UID documentado no demuestra retirar secretos ya leídos, credenciales del sistema destino ni sesiones ya abiertas
Fuente revisada: 2026-10-12 · Revisar antes de 2026-11-11
Por comprobar: Elige el método que corresponde al entorno. Para Universal Identity on-premises, prueba por separado quién crea y entrega el token, el rol asociado, el TTL, la rotación y la revocación; no lo confundas con la credencial del sistema destino.
1Password
Declaración documentada
1Password documenta que sus SDK y cuentas de servicio permiten a agentes de IA recuperar secretos en tiempo de ejecución con acceso limitado a vaults concretos.
Alcance y condiciones
1Password Service Accounts y SDKs · Global
- Requiere configurar una cuenta de servicio
- El alcance efectivo depende de permisos de vault e item
Fuente revisada: 2026-10-12 · Revisar antes de 2026-11-11
Declaración documentada
1Password documenta que una Service Account usa un token que puede proporcionarse mediante OP_SERVICE_ACCOUNT_TOKEN; el token sólo se muestra una vez y los vaults, Environments y permisos elegidos al crear la cuenta no se pueden ampliar ni editar después.
Alcance y condiciones
1Password Service Accounts · Global
- Declaración de 1Password; no es una prueba de entrega o custodia en el entorno de la persona lectora
- La cuenta debe crearse con los vaults, Environments y permisos necesarios
- Para cambiar el acceso o los permisos se debe crear otra cuenta de servicio
- La documentación indica guardar y proteger el token como una contraseña; no almacenarlo en texto plano
- No describe 1Password Credential Broker
Fuente revisada: 2026-10-12 · Revisar antes de 2026-11-11
Declaración documentada
1Password documenta que rotar un token de Service Account genera otro con los mismos permisos y permite fijar cuándo caduca el anterior; revocar un token retira inmediatamente su acceso a los vaults de 1Password.
Alcance y condiciones
1Password Service Accounts · Global
- La transición depende de la caducidad elegida para el token anterior y de actualizar cada consumidor
- La rotación conserva los permisos de la cuenta; no sirve para cambiar vaults o permisos
- La revocación descrita afecta al acceso del token a vaults de 1Password
- No acredita retirada de secretos ya recuperados, revocación en sistemas destino ni cierre de sesiones existentes
- No se ejecutó una rotación o revocación propia
Fuente revisada: 2026-10-12 · Revisar antes de 2026-11-11
Por comprobar: Define vaults y permisos antes de crear la cuenta; documenta la custodia y entrega del token mostrado una vez. Al rotarlo, fija la transición del token anterior y prueba por separado la revocación: retira el acceso a vaults, no demuestra retirada de secretos ya recuperados ni cierre de sesiones destino.
Credenciales temporales y revocación
¿Necesitas generar credenciales temporales o recuperar un secreto ya almacenado?
HashiCorp Vault
Declaración documentada
HashiCorp Vault se documenta como un sistema de gestión de secretos y cifrado basado en identidad que rota credenciales, genera credenciales bajo demanda y audita interacciones de clientes.
Alcance y condiciones
HashiCorp Vault · Global
- Capacidades documentadas por HashiCorp
- La configuración efectiva depende de los motores y políticas habilitados
Fuente revisada: 2026-10-16 · Revisar antes de 2026-11-15
Por comprobar: La declaración general de generación bajo demanda no concreta destino ni TTL. Confirmar motor, quién recibe la credencial, duración y revocación. WIF de plugins hacia cloud no acredita emisión a la automatización consumidora.
Comprobación propia relacionada: Vault KV local, 2026-09-13. No sustituye la comprobación de este criterio en tu entorno.
Akeyless
Declaración documentada
Akeyless documenta para el acceso de máquinas identidades cloud (AWS IAM, Azure AD, GCP IAM y OCI IAM), Universal Identity para máquinas on-premises, Kubernetes, certificados, OAuth2/JWT, API keys y Kerberos; el método debe asociarse a un rol para obtener permisos.
Alcance y condiciones
Akeyless Authentication Methods · Global
- Lista y asociación a rol declaradas por Akeyless; no prueban configuración, disponibilidad contractual ni funcionamiento en un entorno concreto
- El método aplicable depende del proveedor de identidad, la infraestructura, el Gateway y el tipo de cliente autorizados
- Asociar un método a un rol no demuestra por sí solo mínimo privilegio efectivo ni permisos correctos en el sistema destino
Fuente revisada: 2026-10-12 · Revisar antes de 2026-11-11
Declaración documentada
La documentación de Akeyless define Dynamic Secrets como secretos generados cada vez que se solicitan para dar acceso temporal con permisos predefinidos, y permite revocar usuarios temporales de un destino.
Alcance y condiciones
Akeyless Dynamic Secrets · Global
- Requiere permiso Dynamic Secret en el Gateway y credenciales de cuenta y acceso para comunicarse con el destino
- Los productores, políticas y opciones disponibles dependen del sistema integrado y la configuración
- La caducidad, revocación y recuperación deben probarse en el entorno real
Fuente revisada: 2026-10-12 · Revisar antes de 2026-11-11
Por comprobar: Probar expiración y revocación en el destino con los permisos del Gateway acordados.
1Password
Sin evidencia suficiente. No significa que la función no exista.
Por comprobar: La evidencia seleccionada sobre recuperación de secretos no acredita generación dinámica. Pedir documentación del caso concreto.
Alcance de permisos
¿Puedes limitar el acceso a lo que exige este trabajo?
HashiCorp Vault
Declaración documentada
HashiCorp Vault documenta AppRole como mecanismo para generar tokens destinados a autenticación de máquinas.
Alcance y condiciones
HashiCorp Vault AppRole · Global
- El método debe habilitarse y configurarse
- Las políticas determinan las acciones autorizadas
Fuente revisada: 2026-10-16 · Revisar antes de 2026-11-15
Por comprobar: Probar que las políticas deniegan acciones fuera del trabajo previsto.
Comprobación propia relacionada: Vault KV local, 2026-09-13. No sustituye la comprobación de este criterio en tu entorno.
Comprobación propia relacionada: Vault AppRole local, 2026-09-19. No sustituye la comprobación de este criterio en tu entorno.
Akeyless
Declaración documentada
La documentación de Akeyless define Dynamic Secrets como secretos generados cada vez que se solicitan para dar acceso temporal con permisos predefinidos, y permite revocar usuarios temporales de un destino.
Alcance y condiciones
Akeyless Dynamic Secrets · Global
- Requiere permiso Dynamic Secret en el Gateway y credenciales de cuenta y acceso para comunicarse con el destino
- Los productores, políticas y opciones disponibles dependen del sistema integrado y la configuración
- La caducidad, revocación y recuperación deben probarse en el entorno real
Fuente revisada: 2026-10-12 · Revisar antes de 2026-11-11
Por comprobar: Asocia el método de autenticación a un rol y prueba rutas y acciones permitidas y denegadas en Akeyless; valida por separado los permisos predefinidos que el productor aplicará en el destino.
1Password
Declaración documentada
1Password documenta que sus SDK y cuentas de servicio permiten a agentes de IA recuperar secretos en tiempo de ejecución con acceso limitado a vaults concretos.
Alcance y condiciones
1Password Service Accounts y SDKs · Global
- Requiere configurar una cuenta de servicio
- El alcance efectivo depende de permisos de vault e item
Fuente revisada: 2026-10-12 · Revisar antes de 2026-11-11
Declaración documentada
1Password documenta que una Service Account usa un token que puede proporcionarse mediante OP_SERVICE_ACCOUNT_TOKEN; el token sólo se muestra una vez y los vaults, Environments y permisos elegidos al crear la cuenta no se pueden ampliar ni editar después.
Alcance y condiciones
1Password Service Accounts · Global
- Declaración de 1Password; no es una prueba de entrega o custodia en el entorno de la persona lectora
- La cuenta debe crearse con los vaults, Environments y permisos necesarios
- Para cambiar el acceso o los permisos se debe crear otra cuenta de servicio
- La documentación indica guardar y proteger el token como una contraseña; no almacenarlo en texto plano
- No describe 1Password Credential Broker
Fuente revisada: 2026-10-12 · Revisar antes de 2026-11-11
Por comprobar: Prueba acceso permitido y denegado a los vaults e items relevantes. Como vaults y permisos no se editan después de crear la cuenta, documenta cuándo necesitarías crear otra Service Account; rotar el token conserva los permisos.
Registro de accesos
¿Podrás reconstruir qué identidad usó qué secreto y cuándo?
HashiCorp Vault
Declaración documentada
HashiCorp Vault se documenta como un sistema de gestión de secretos y cifrado basado en identidad que rota credenciales, genera credenciales bajo demanda y audita interacciones de clientes.
Alcance y condiciones
HashiCorp Vault · Global
- Capacidades documentadas por HashiCorp
- La configuración efectiva depende de los motores y políticas habilitados
Fuente revisada: 2026-10-16 · Revisar antes de 2026-11-15
Por comprobar: Confirmar los campos, retención y exportación del registro para este caso.
Akeyless
Declaración documentada
Akeyless documenta que sus Audit Logs muestran hora, acción, estado, cliente, dirección IP, tipo de acceso y producto; el formato raw añade secuencia por cuenta, Access ID, componente, duración, parámetros de solicitud y alcance y subclaims del cliente cuando se configuran.
Alcance y condiciones
Akeyless Audit Logs · Global
- Campos y detalle dependen de la acción, el método de autenticación y la configuración; scope_params y client_sub_claims son condicionales
- La retención, integridad, permisos de consulta y exportación deben verificarse en la edición contratada
- Un evento registrado no demuestra por sí solo detección, respuesta ni cumplimiento
Fuente revisada: 2026-10-12 · Revisar antes de 2026-11-11
Por comprobar: Confirmar campos presentes, retención, integridad y exportación en la edición elegida.
1Password
Declaración documentada
1Password documenta que el Activity Log registra cuándo accede una cuenta de servicio a un secreto.
Alcance y condiciones
1Password Service Accounts · Global
- Capacidad declarada por 1Password
- Debe verificarse retención y detalle del log en el plan contratado
Fuente revisada: 2026-10-12 · Revisar antes de 2026-11-11
Por comprobar: Confirmar detalle y retención de Activity Log en el plan elegido.
Edición y disponibilidad
¿La función que necesitas está disponible en la edición y entorno elegidos?
HashiCorp Vault
Declaración documentada
HashiCorp documenta motores de secretos estáticos y dinámicos y registros de auditoría tanto en Vault Community como en Vault Enterprise; Community es autogestionado y Enterprise puede ser autogestionado o consumirse como HCP Vault.
Alcance y condiciones
HashiCorp Vault · Global
- Capacidades y modelos de despliegue declarados por HashiCorp; la página no demuestra una implantación concreta
- Las diferencias funcionales adicionales, licencia, soporte y SLA deben contrastarse para la edición seleccionada
- Disponibilidad comercial y condiciones aplicables en España deben confirmarse antes de contratar
Fuente revisada: 2026-10-12 · Revisar antes de 2026-11-11
Por comprobar: Elige entre Community autogestionado y Enterprise autogestionado o HCP Vault. Confirma licencia, soporte, SLA, arquitectura, integración y condiciones aplicables en España.
Akeyless
Declaración documentada
Akeyless presenta Pure SaaS como un servicio cloud plenamente gestionado y Hybrid SaaS con Gateways locales; en la tabla de Secrets Management publica para Free 5 clientes, 500 secretos estáticos, 5 secretos dinámicos y 5 secretos rotados, mientras Enterprise aparece con esas capacidades incluidas.
Alcance y condiciones
Akeyless Secrets Management · Global
- Características y límites declarados por Akeyless en su página pública; no constituyen una oferta contractual
- La tabla citada es la de Secrets Management; otras tablas de la misma página usan límites distintos
- Precio, soporte, SLA, conectores, Gateway y condiciones aplicables en España deben confirmarse antes de contratar
Fuente revisada: 2026-10-12 · Revisar antes de 2026-11-11
Por comprobar: Elige Pure SaaS o Hybrid SaaS y contrasta los límites de Secrets Management de la edición seleccionada. Confirma Gateways, conectores, soporte, SLA, precio y condiciones aplicables en España.
1Password
Declaración documentada
La documentación de Service Accounts fija una cuota diaria compartida de 50.000 solicitudes para una cuenta 1Password Business y 5.000 para una cuenta Teams.
Alcance y condiciones
1Password Service Accounts — Business y Teams · Global
- Cuota de lectura y escritura conjunta por cuenta de 1Password en 24 horas; no por token ni por cuenta de servicio
- Todas las cuentas de servicio de la cuenta comparten la cuota diaria
- También existen límites horarios independientes de lectura y escritura por token
- Algunos comandos de la CLI consumen más de una solicitud
- No describe Credential Broker ni garantiza capacidad efectiva para un entorno concreto
Fuente revisada: 2026-10-12 · Revisar antes de 2026-11-11
Por comprobar: Estima las solicitudes de todas tus automatizaciones y contrasta la cuota compartida del plan y los límites horarios. Confirma permisos, entorno y condiciones contratables. Esta comparación no evalúa Credential Broker.
Volver a la selección y guardar el expediente
Prueba tu caso con un protocolo común
Registra permisos, caducidad y revocación con los mismos criterios para cada alternativa. Distingue el acceso al gestor, las nuevas conexiones al destino y las sesiones que ya estaban abiertas.
Descargar protocolo de evaluación (.txt)
Completa la plantilla en tu equipo con datos de prueba. Anota versión, edición, resultados y límites; no incluyas contraseñas ni tokens.
Resultado propio, no puntuación comparativa
Comprobación propia: acceso y revocación en Vault KV
En un laboratorio local de Vault 1.21.3, una política limitada permitió leer un secreto KV autorizado y rechazó otra ruta y la escritura. Tras revocar el token, y tras dejar caducar otro con TTL solicitado de dos segundos, nuevas lecturas devolvieron HTTP 403. Eso describe este ensayo, no Vault en producción.
Límite antes de usar el resultado: Revocar o dejar caducar el token impidió nuevas lecturas KV con ese token. No retiró el valor sintético ya leído ni prueba qué ocurre con una credencial en el sistema destino o con una sesión que ya estaba abierta.
Entorno y versión
- Producto
- Vault v1.21.3 (f4f0f4eb7f467bbc99ec89121e1d1ad9c3d78558)
- Fecha
- 2026-09-13
- Configuración
- Servidor de desarrollo aislado, ligado a loopback y en memoria; Linux aarch64.
- Datos
- Dos valores sintéticos sin credenciales ni sistemas de producción.
Resultado observado
Las 12 comprobaciones obtuvieron el estado HTTP esperado. El conjunto concordó en tres ejecuciones; las dos últimas registraron la misma huella del script.
- Lectura de la ruta permitida: HTTP 200.
- Otra ruta y escritura no permitida: HTTP 403.
- Nueva lectura después de revocar el token: HTTP 403.
- Token con TTL solicitado y concedido de 2 segundos: lectura previa HTTP 200 y lectura a los 3.001954 segundos HTTP 403.
El intervalo acota cuándo se observó el rechazo; no establece el instante exacto de caducidad.
Ver las 12 observaciones
- Preparar la ruta KV permitida: esperado HTTP 200; observado HTTP 200; PASS.
- Preparar otra ruta KV: esperado HTTP 200; observado HTTP 200; PASS.
- Instalar la política limitada: esperado HTTP 204; observado HTTP 204; PASS.
- Emitir un token lector no renovable: esperado HTTP 200; observado HTTP 200; PASS.
- Leer la ruta permitida: esperado HTTP 200; observado HTTP 200; PASS.
- Intentar leer otra ruta: esperado HTTP 403; observado HTTP 403; PASS.
- Intentar escribir en la ruta permitida: esperado HTTP 403; observado HTTP 403; PASS.
- Revocar el token lector: esperado HTTP 204; observado HTTP 204; PASS.
- Leer con el token ya revocado: esperado HTTP 403; observado HTTP 403; PASS.
- Emitir un token con TTL solicitado de 2 segundos: esperado HTTP 200; observado HTTP 200; PASS.
- Leer antes del vencimiento: esperado HTTP 200; observado HTTP 200; PASS.
- Leer después del intervalo de caducidad: esperado HTTP 403; observado HTTP 403; PASS.
Reproducir y revisar
Descargar el registro sanitizado (.json) · Descargar el script exacto (.py)
python3 reproducir-vault-kv.py --vault-binary /ruta/al/binario/vault --output resultado.json
Huellas y procedencia
- Script SHA-256
62f37110001460f6fbe192499cf7ee6f55935879b9c3943c14ba3332b565fda9- Binario SHA-256
6cd5bd62dfd52bd54e79e0c6afa683a4e38d899524fd6d28dd1c88f89effddd7
Archivo del distribuidor usado como referencia. La suma del archivo se contrastó con SHA256SUMS obtenido por HTTPS; la firma no se verificó de forma independiente.
Qué no demuestra
- Es una única configuración local en modo de desarrollo; no es un despliegue de producción ni una certificación de seguridad.
- Prueba acceso, caducidad y revocación de tokens frente a secretos KV almacenados; no prueba generación de credenciales dinámicas de base de datos, AppRole ni WIF de plugins.
- No mide auditoría, disponibilidad, rendimiento, integración cloud, licencias ni soporte.
- No compara Vault con otras alternativas y no demuestra superioridad, compatibilidad o idoneidad para un caso real.
Resultado propio, no puntuación comparativa
Comprobación propia: arranque y revocación con Vault AppRole
En tres ejecuciones locales de Vault 1.21.3, RoleID y SecretID permitieron obtener un token limitado a una política de lectura. Destruir el SecretID hizo fallar un login nuevo con HTTP 400, pero el token ya emitido siguió leyendo. Tras revocarlo, la misma lectura devolvió HTTP 403. Es una observación de laboratorio, no una garantía de producción.
Límite antes de usar el resultado: Destruir el SecretID no revocó el token ya emitido. Esa distinción exige gobernar por separado la entrega y retirada del SecretID y la vida y revocación del token. El ensayo no prueba cómo transportar el SecretID ni retira valores ya leídos.
Entorno y versión
- Producto
- Vault v1.21.3 (f4f0f4eb7f467bbc99ec89121e1d1ad9c3d78558)
- Fecha
- 2026-09-19
- Configuración
- Servidor de desarrollo aislado, ligado a loopback y en memoria; Linux aarch64.
- Rol
- AppRole local con token sin política default y una política de lectura para una sola ruta KV.
- Datos
- Dos valores sintéticos sin credenciales ni sistemas de producción.
Resultado observado
Las 15 comprobaciones obtuvieron el estado HTTP esperado en tres ejecuciones con la misma huella del script.
- Login con RoleID y SecretID: HTTP 200; lectura autorizada: HTTP 200; otra ruta: HTTP 403.
- Después de destruir el SecretID: login nuevo HTTP 400, pero el token ya emitido mantuvo la lectura HTTP 200.
- Después de revocar el token emitido: nueva lectura HTTP 403.
Ver las 15 observaciones
- Preparar la ruta KV permitida: esperado HTTP 200; observado HTTP 200; PASS.
- Preparar otra ruta KV: esperado HTTP 200; observado HTTP 200; PASS.
- Instalar la política limitada: esperado HTTP 204; observado HTTP 204; PASS.
- Habilitar el método AppRole: esperado HTTP 204; observado HTTP 204; PASS.
- Configurar el AppRole sin política default: esperado HTTP 204; observado HTTP 204; PASS.
- Obtener el RoleID del rol: esperado HTTP 200; observado HTTP 200; PASS.
- Generar un SecretID: esperado HTTP 200; observado HTTP 200; PASS.
- Iniciar sesión con RoleID y SecretID: esperado HTTP 200; observado HTTP 200; PASS.
- Leer la ruta autorizada con el token emitido: esperado HTTP 200; observado HTTP 200; PASS.
- Intentar leer una ruta fuera de la política: esperado HTTP 403; observado HTTP 403; PASS.
- Destruir el SecretID por accessor: esperado HTTP 204; observado HTTP 204; PASS.
- Reintentar el login con el SecretID destruido: esperado HTTP 400; observado HTTP 400; PASS.
- Leer con el token ya emitido después de destruir el SecretID: esperado HTTP 200; observado HTTP 200; PASS.
- Revocar el token ya emitido: esperado HTTP 204; observado HTTP 204; PASS.
- Leer con el token revocado: esperado HTTP 403; observado HTTP 403; PASS.
Documentación utilizada
- HashiCorp Developer: AppRole auth method: Modelo RoleID/SecretID, propiedades de SecretID y autenticación de máquinas o aplicaciones.
- HashiCorp Developer: AppRole API: Endpoints de login, generación y destrucción de SecretID por accessor.
- HashiCorp Developer: AppRole tutorial: Flujo de RoleID, SecretID, login y token sujeto a políticas.
Reproducir y revisar
Descargar el registro sanitizado (.json) · Descargar el script exacto (.py)
python3 reproducir-vault-approle.py --vault-binary /ruta/al/binario/vault --output resultado.json
Huellas y procedencia
- Script SHA-256
e6c7faf76475db9a9c7b14e7eab3d57fcd1b65b5ba4c1b2585f7c0b5c985937a- Binario SHA-256
6cd5bd62dfd52bd54e79e0c6afa683a4e38d899524fd6d28dd1c88f89effddd7
Archivo del distribuidor usado como referencia. La suma del archivo coincide con la procedencia ya custodiada del laboratorio Vault KV; la firma no se verificó de forma independiente.
Qué no demuestra
- Es una única configuración local en modo de desarrollo; no es un despliegue de producción ni una certificación de seguridad.
- No prueba la entrega protegida del SecretID, response wrapping, SecretID de usos limitados ni la renovación del token.
- Revocar el token impidió nuevas llamadas con ese token; no retiró valores ya leídos ni prueba qué ocurre con una sesión abierta en otro sistema.
- No prueba TLS, alta disponibilidad, namespaces, dispositivos de auditoría, rendimiento, disponibilidad, integración cloud, licencias ni soporte.
- No compara Vault con otras alternativas ni demuestra superioridad, compatibilidad o idoneidad para un caso real.
Registro de cambio de evidencia · publicado 2026-09-20
Qué cambia esta comprobación para tu ensayo de Vault
Observación ya publicada: El laboratorio AppRole ya publicado observó en tres ejecuciones que destruir el SecretID impidió un login nuevo, pero no retiró el acceso del token emitido; tras revocar ese token, una nueva lectura fue denegada.
Consecuencia para el ensayo: No cierres una prueba de revocación al destruir el SecretID: la entrega y retirada del SecretID y la vida y revocación del token son decisiones separadas.
Siguientes comprobaciones
- Comprueba que un SecretID retirado no permite un login nuevo con la edición y el flujo de entrega que vas a usar.
- Comprueba por separado que el token ya emitido pierde acceso cuando lo revocas y registra qué sucede con el destino y con sesiones ya abiertas.
Límite: Esta observación local no prueba cómo transportar el SecretID, no retira valores ya leídos y no demuestra producción, compatibilidad, seguridad, disponibilidad ni idoneidad frente a otras alternativas.
Revisa el registro y el método AppRole que sostienen esta observación.
Cómo cerrar una decisión
Una fuente del proveedor acredita lo que declara; no demuestra eficacia en tu entorno. Recuperar un secreto no acredita generación dinámica. La selección es tuya y no puntuamos marcas.
Comparación preparada: 2026-10-16. Las fechas factuales aparecen por afirmación.
- Define el sistema al que accederá tu automatización y qué permiso necesita.
- Selecciona dos o tres alternativas. Usa «Por comprobar» para identificar una condición que podría excluir cada una.
- Abre las fuentes y confirma edición, permisos, caducidad y registros en una prueba de tu caso. No conviertas una laguna documental en una incompatibilidad.
- Descarga o imprime el expediente y completa tus requisitos en tu copia. No se envían requisitos privados mediante esta herramienta.