Duda Vibe combina la seguridad de la plataforma gestionada por Duda con controles de seguridad que los propietarios de los proyectos pueden utilizar en sus propios sitios web y aplicaciones.
Algunas medidas de protección están integradas en la plataforma Vibe y no requieren configuración. Otros controles, como la autenticación, los permisos y la gestión de secretos, están a disposición de los propietarios de los proyectos en función de las necesidades de cada uno.
Los proyectos de Vibe están aislados entre sí a nivel de plataforma.
A cada proyecto se le concede acceso únicamente a sus propios recursos, lo que ayuda a evitar que un proyecto acceda a los datos, las credenciales o el entorno de ejecución de otro proyecto.
Este aislamiento lo garantiza la plataforma Vibe, en lugar de basarse únicamente en el código generado para el proyecto.
Cuando Vibe admite una funcionalidad gestionada por Duda, las funciones sensibles desde el punto de vista de la seguridad pueden utilizar dicha funcionalidad en lugar de implementarse íntegramente en código generado.
Algunos ejemplos son:
-
Formularios. Los envíos utilizan el servicio de formularios gestionado de Duda, que incluye protección integrada contra el spam y el tratamiento estándar de los datos de los formularios de Duda.
-
Tienda y carrito. Los flujos de comercio compatibles utilizan las funciones gestionadas de tienda y carrito de Duda, lo que permite mantener las partes sensibles del proceso de compra dentro de la plataforma de Duda (próximamente).
-
Autenticación. Los flujos de inicio de sesión compatibles utilizan la autenticación gestionada por Duda, en lugar de exigir que el proyecto implemente su propio sistema de autenticación.
El uso de componentes de la plataforma gestionada reduce la cantidad de funcionalidades relacionadas con la seguridad que es necesario generar específicamente para cada proyecto.
Vibe no permite que los proyectos instalen paquetes de software arbitrarios.
Los paquetes disponibles para los proyectos de Vibe son gestionados de forma centralizada por Duda y se incluyen en el inventario de software y en la lista de materiales de software (SBOM) de Duda.
Duda supervisa los paquetes compatibles para detectar vulnerabilidades conocidas como parte de su proceso de gestión de vulnerabilidades y actualiza las dependencias de la plataforma en función de la gravedad y el riesgo.
Esto significa que los responsables de los proyectos no tienen que seleccionar ni mantener por su cuenta los paquetes de software incluidos en Vibe.
Los proyectos de Vibe se ejecutan en una infraestructura gestionada por Duda.
Los proyectos publicados (en dominios personalizados) se sirven a través de HTTPS, y Duda se encarga de la gestión de los certificados SSL. Los propietarios de los proyectos no tienen que obtener ni mantener los certificados por su cuenta. Para más información, consulta la sección SSL (HTTPS).
Vibe está disponible en los entornos de alojamiento regionales de Duda.
Los clientes que utilicen el entorno europeo de Duda pueden utilizar Vibe dentro de la arquitectura de alojamiento europea de Duda, lo que contribuye a cumplir los requisitos regionales en materia de residencia de datos.
Los propietarios de los proyectos controlan quién puede acceder y trabajar en sus proyectos de Vibe a través de los permisos de la cuenta y del proyecto de Duda, al igual que ocurre con otros sitios de Duda. Para obtener más información, consulta Gestionar miembros del equipo y Gestionar clientes.
Para los clientes, la edición y la publicación son permisos independientes, lo que permite a las organizaciones controlar quién puede realizar cambios y quién puede publicarlos.
Para los proyectos que requieren que los usuarios inicien sesión, Vibe ofrece funciones de autenticación gestionadas por Duda.
Las funciones de autenticación compatibles incluyen el inicio de sesión de usuario, la creación de cuentas, el restablecimiento de contraseñas, las sesiones y el inicio de sesión con Google.
Los propietarios de proyectos también pueden definir roles que su aplicación pueda utilizar para controlar el acceso a las funciones protegidas.
Vibe ofrece un servicio de almacenamiento gestionado para las claves API y otros datos confidenciales que utiliza un proyecto.
Los secretos se almacenan por separado del código de la aplicación y solo se ponen a disposición de esta cuando es necesario. Los valores de los secretos no se facilitan al modelo de IA como parte del proceso habitual de generación de código.
Los responsables de los proyectos siguen siendo los encargados de limitar los permisos de cualquier credencial de terceros que añadan a un proyecto.
El código generado por IA puede contener defectos de software, incluidas vulnerabilidades de seguridad.
Vibe utiliza modelos de inteligencia artificial con mecanismos de seguridad integrados destinados a reducir la generación de código dañino o abusivo. Vibe también reduce el riesgo mediante el uso de los servicios gestionados de Duda para las funciones sensibles en materia de seguridad que son compatibles, y mediante la restricción de los paquetes de software que pueden utilizar los proyectos.
Sin embargo, Vibe no realiza actualmente un análisis específico de vulnerabilidades del código fuente generado para cada proyecto.
Por lo tanto, los responsables de los proyectos deberían tener en cuenta la sensibilidad y la finalidad de su aplicación a la hora de decidir si es conveniente realizar una revisión o unas pruebas adicionales antes de su publicación.
Vibe forma parte de la plataforma gestionada y del programa de seguridad de Duda.
Duda afirma:
-
Certificación SOC 2 Tipo II, confirmada mediante una auditoría independiente.
-
ISO 27001:2022 con certificación propia de Duda.
-
Cumple con el RGPD y la CCPA, con el respaldo del anexo sobre tratamiento de datos de Duda.
-
Pruebas de penetración realizadas anualmente por equipos externos.
-
Cifrado de datos en reposo y en tránsito.
En el Centro de confianza de Duda se puede consultar información adicional sobre el programa general de seguridad y cumplimiento normativo de Duda.