Proxy TCPEnterprise

Enterprise y entornos regulados: el proxy en tu VPC y la evidencia para tu auditor

En un banco, una aseguradora o una empresa de salud, el SQL que llega a producción tiene que estar controlado y, además, poder demostrarse. En Enterprise, el proxy de Vericto corre en tu VPC y lo opera tu equipo: evalúa dentro de tu red y tus credenciales no salen de ella. El plano de control es compartido en Standard, o dedicado en la región que elijas y conectado por AWS PrivateLink en Enhanced y Premium. Cada decisión queda en un audit trail firmado que tu auditor puede verificar.

Hablar con ventas Qué incluye Enterprise
Diagrama: despliegue Enterprise con el proxy de Vericto en tu VPCEn tu cuenta de AWS, dentro de tu VPC, tus aplicaciones se conectan al proxy de Vericto, que opera tu equipo y que evalúa cada sentencia antes de PostgreSQL o MySQL; una sentencia bloqueada vuelve a la aplicación como error. El proxy sincroniza las reglas y envía la telemetría al plano de control de Vericto, compartido en Standard o dedicado en Enhanced y Premium, por HTTPS con TLS o por AWS PrivateLink. Tu proveedor de identidad da acceso al dashboard con SSO por OIDC.Tu cuenta de AWS: tu VPCPlano de control de VerictoHTTPS/TLS o PrivateLinkSSO (OIDC)Tus aplicacionesProxy de Verictolo opera tu equipoEvalúa aquíBase de datosPostgreSQL o MySQLVericto Cloudcompartido o dedicadoTu IdPOkta · Entra IDDiagrama: despliegue Enterprise con el proxy de Vericto en tu VPCEn tu cuenta de AWS, dentro de tu VPC, tus aplicaciones se conectan al proxy de Vericto, que opera tu equipo y que evalúa cada sentencia antes de PostgreSQL o MySQL; una sentencia bloqueada vuelve a la aplicación como error. El proxy sincroniza las reglas y envía la telemetría al plano de control de Vericto, compartido en Standard o dedicado en Enhanced y Premium, por HTTPS con TLS o por AWS PrivateLink. Tu proveedor de identidad da acceso al dashboard con SSO por OIDC.Tu cuenta de AWS: tu VPCPlano de control de VerictoSSO (OIDC)Tus aplicacionesProxy de Verictolo opera tu equipoEvalúa aquíBase de datosPostgreSQL o MySQLVericto Cloudcompartido o dedicadoTu IdPOkta · Entra ID
  • Ruta de la sentencia SQL
  • Vericto Cloud: reglas y telemetría
  • Sentencia bloqueada: vuelve un error
  • Donde Vericto evalúa
A la izquierda, tu cuenta de AWS: tus aplicaciones, el proxy de Vericto y tu base, todo en tu VPC. A la derecha, el plano de control: compartido en Standard, o dedicado, en una cuenta de AWS solo para ti, en Enhanced y Premium. Solo cruzan la sincronización de reglas y la telemetría, por HTTPS con TLS o, en un despliegue dedicado, por AWS PrivateLink. Tu equipo entra al dashboard con SSO desde tu IdP.

Qué protege

Las mismas reglas que en cualquier otra arquitectura, con el proxy dentro de tu red, más los controles que pide un equipo de seguridad o un regulador:

  • Audit trail append-only: cada decisión queda registrada, con el texto de la query cifrado con AES-256-GCM. La base rechaza ediciones y borrados de eventos; solo la purga de retención de tu plan los elimina.
  • Reporte mensual de cumplimiento: el día 1 de cada mes, un PDF firmado con Ed25519 con la evidencia de 6 criterios de SOC 2 y 6 controles de ISO/IEC 27001:2022, que se guarda 13 meses o lo que fije tu contrato. Los exports CSV y JSON también van firmados, y tu auditor verifica la firma con la clave pública de Vericto.
  • SSO con OIDC (Okta, Microsoft Entra ID y Google Workspace), que puedes hacer obligatorio para todo tu dominio, cuatro roles y un log de cada cambio administrativo, con el actor, la IP y el antes y el después.
  • Retención según tu contrato: un año de historial de queries incluido, ampliable a 3 o 7 años como add-on.
  • VERICTO-087 y VERICTO-085: allowlists por agente o servicio y columnas sensibles bloqueadas o enmascaradas, incluidas en Enterprise.

Sobre el alcance: Vericto produce evidencia para esos controles; no reemplaza una auditoría ni implica que Vericto esté certificado. El SOC 2 de Vericto está en curso y Vericto no tiene la certificación ISO 27001. Si tu proceso de compras necesita más información, escribe a security@vericto.com.

Latencia y disponibilidad

El proxy está en tu VPC, junto a la aplicación, y evalúa en su propio proceso. La sincronización de reglas y la telemetría van fuera de la ruta crítica: por HTTPS con TLS en Standard, y por AWS PrivateLink, sin pasar por internet, en Enhanced y Premium.

Para el parsing y la evaluación de reglas, el objetivo de diseño es p99 < 2 ms. Es un objetivo, no una medición: el benchmark de latencia del proxy todavía no está publicado.

Tres niveles de SLA, con créditos de servicio: Standard, 99,9% en infraestructura compartida; Enhanced, 99,95% en un despliegue dedicado en una región; Premium, 99,99% en un despliegue dedicado multi-región activo-activo. En Enhanced y Premium, el SLA corre desde la aceptación del despliegue. Cada nivel trae su soporte, de una primera respuesta a un P1 en 1 h en Standard a 15 min en Premium: niveles de soporte.

Residencia de datos: en Enhanced y Premium, todo el plano de control corre en tu cuenta de AWS dedicada y en las regiones que elijas. Standard corre en AWS us-east-1 y no garantiza la residencia de datos.

Cómo implementarlo

  1. Habla con ventas y elige el nivel (Standard, Enhanced o Premium), la región y la retención: el Order Form lo fija. En Enhanced y Premium, el anexo de despliegue del contrato lista cada componente y dónde corre.
  2. En Enhanced y Premium, construimos el despliegue dedicado para tu fecha de inicio y lo verificamos contigo antes de salir a producción.
  3. Despliega el proxy en tu VPC: el contenedor ghcr.io/vericto/vericto-proxy en ECS o Kubernetes, en subredes privadas junto a la aplicación, con varias réplicas detrás de un balanceador interno. En el onboarding te guiamos en el despliegue y en el ajuste de las reglas.
  4. Conecta el proxy al plano de control: por AWS PrivateLink en Enhanced y Premium, por HTTPS con TLS en Standard. Si el texto de las queries no debe salir de tu red tal cual, usa la telemetría sanitizada.
  5. Configura el SSO y hazlo obligatorio para tu dominio, asigna los roles y da a tu auditor el rol Viewer, de solo lectura.
  6. Empieza en modo observación, simula cada cambio contra tu tráfico real (según contrato, hasta 180 días) y aplica las reglas. El primer reporte mensual llega el día 1 del mes siguiente.

Cuándo no usar esta opción

  • Necesitas hoy el informe SOC 2 de Vericto como proveedor. Está en curso y todavía no existe: Vericto te da evidencia para tus controles, no su propia certificación.
  • Residencia de datos garantizada en infraestructura compartida. Standard no la garantiza: para eso están Enhanced y Premium.
  • Nadie puede operar el proxy. Su disponibilidad es responsabilidad de tu equipo. Si no puedes asumirla, la API de runtime evalúa sin un componente en tu red, a cambio de una llamada por sentencia y de que tu código respete la decisión.
  • Snowflake por un proxy en tu VPC. Snowflake no tiene proxy: se evalúa con la API de runtime, la API de validación, la CLI y MCP. Ver data warehouse.

Disponibilidad por plan

FunciónFreeBuilderTeamEnterprise
Proxy TCP, API de runtime, CLI y MCPSíSíSíSí
Historial de queries7 días30 días90 díasSegún contrato
Export firmado del audit trail (CSV/JSON y PDF)——SíSí
Reporte mensual de cumplimiento automático———Sí
SSO (OIDC)———Sí
Despliegue en tu VPC———Sí
Despliegue dedicado en tu región———Enhanced y Premium
SLA de la API—99,5%99,9%99,9%; 99,95% y 99,99% con despliegue dedicado

Precios y todos los límites en Precios.

Hablemos de tu despliegue

Cuéntanos tu stack, tu región y tus requisitos de auditoría, y preparamos una propuesta con el despliegue, la retención y el SLA que necesitas. Enterprise Standard parte de USD 2.500 al mes, con contrato anual.

Hablar con ventas Empezar gratis