Volver al inicio

Análisis de salud de Vault

Una revisión de salud gratuita y de solo lectura para HashiCorp Vault y OpenBao. Ejecuta un comando contra tu instalación y obtén un informe que puedes leer, compartir con tu equipo o enviarnos para una segunda opinión. Pensado para ese Vault que lleva años funcionando y que nadie ha revisado de principio a fin desde hace tiempo.

Ejecutar el análisis Obtener una revisión experta

Seguro para ejecutar en producción

Nunca escribe nada en Vault y nunca lee el valor de un secreto. Ambas cosas están garantizadas en el código, no por convención:

  • El cliente de Vault del analizador solo puede enviar peticiones GET y LIST. Cualquier otro método se rechaza dentro del propio cliente antes de construir la petición.
  • En los secretos KV solo lee /metadata (versión, fecha de última modificación), nunca /data. Las pruebas colocan un valor secreto y fallan si aparece en cualquier formato del informe.
  • Nuestra integración continua ejecuta el análisis completo contra servidores reales de Vault y OpenBao y cuenta cada método HTTP que llega realmente a ellos.

Solo se comunica con tu Vault: sin telemetría y sin llamadas a nosotros ni a HashiCorp. Incluye una política de Vault mínima y de solo lectura. Si tu token no puede leer algo, esa comprobación aparece como "no comprobado" y el análisis continúa.

Qué comprueba

Cada hallazgo incluye su gravedad, la evidencia, por qué importa y una solución concreta.

Versión y licenciaVersiones sin soporte, compilación BSL o MPL, detección de OpenBao, licencia Enterprise.
Sellado y deselladoShamir o auto-unseal, fragmentos de clave y umbral, estado de sellado.
Alta disponibilidad y almacenamientoBackend de almacenamiento, riesgo de nodo único, nodos raft, estado de autopilot.
Registro de auditoríaSin dispositivo de auditoría, o solo uno (un punto único de fallo).
Métodos de autenticaciónConfiguraciones solo con token o userpass; secret IDs de AppRole que no caducan o permiten usos ilimitados.
PolíticasExceso de políticas y permisos comodín o sobre sys/* con sudo o escritura.
Higiene de tokens y leasesTTL ilimitados o muy largos en montajes y métodos de autenticación; número de leases.
Motores de secretosInventario de motores, KV v1 o v2, configuración check-and-set, secretos sin cambios desde hace más de un año.
TLS, namespaces y copias de seguridadTLS del listener, namespaces Enterprise, si hay snapshots automáticos visibles.

El informe también incluye una puntuación de 0 a 100 (con la fórmula junto a ella), tus cinco riesgos principales y un resumen de "preparación para la migración": cuántos de tus secretos KV podrían importarse a Keyorix y qué motores no.

Ejecútalo en cinco minutos

  1. Descarga keyorix-migrate para tu plataforma (Linux o macOS, amd64 o arm64) desde la página de versiones en GitHub. Es un único binario con suma de verificación firmada y SBOM. El archivo de política de solo lectura, healthscan-policy.hcl, está en el mismo repositorio.
  2. Crea un token de corta duración y solo lectura:
    vault policy write healthscan-readonly healthscan-policy.hcl vault token create -policy=healthscan-readonly -ttl=1h
  3. Ejecuta el análisis:
    export VAULT_TOKEN=... # el token del paso 2 keyorix-migrate vault scan \ --addr https://vault.example.com:8200 \ --output ./report
    Obtendrás report.html, report.md y report.json. ¿CA privada? Añade --cacert ca.pem. También admite namespaces de Vault e inicio de sesión con AppRole.

¿Quieres que un experto revise los hallazgos?

Revisión gratuita. Envíanos tu report.json y repasaremos los hallazgos contigo en una llamada de 30 minutos: qué es urgente, qué puede esperar y qué está bien como está. El JSON solo contiene hallazgos y metadatos de configuración, nunca valores de secretos.

Evaluación de Salud de Vault. Un servicio a precio cerrado para equipos que quieren la visión completa: arquitectura y topología, revisión de políticas y accesos, higiene de los motores de secretos, riesgos operativos y de recuperación ante desastres, y una estimación honesta de lo que te cuesta mantener tu Vault cada mes. Recibes un informe escrito con hallazgos priorizados y recomendaciones concretas, un resumen ejecutivo de una página y una sesión de presentación. No es una prueba de penetración ni una certificación de cumplimiento, y si migrar a Keyorix no es lo adecuado para ti, el informe lo dirá.

Solo usamos tus datos para responder a esta solicitud. Consulta nuestra política de privacidad.