Cada cliente ve solo lo suyo. Sin excepciones, sin ambigüedad.
Aislamiento multi-tenant real a nivel de base de datos, RBAC granular, auditoría completa y compliance listo para normativa europea. Diseñado para MSP que gestionan datos sensibles de múltiples organizaciones.
Modelo multi-tenant con aislamiento real
No es un filtro de interfaz. Cada registro en la base de datos lleva su tenant_id y cada consulta lo valida. El aislamiento es estructural, no cosmético.
403 Forbidden antes de que la información salga de la base de datos. El intento queda registrado en el log de auditoría.Filtrado por tenant_id en cada query
Validación de tenant en cada request
Sin overlap posible entre tenants
4 niveles de aislamiento
El aislamiento no es una única capa. Es un sistema defensivo en profundidad que protege los datos en cada punto de la arquitectura.
Datos
Cada registro incluye tenant_id. Las consultas se filtran automáticamente por el tenant autenticado. Nunca se devuelven datos de otro tenant.
Sesiones
Las sesiones están vinculadas al tenant. Un usuario no puede cambiar de contexto de tenant sin autenticación explícita en ese tenant.
API
Cada endpoint valida el tenant del token JWT. Las respuestas se filtran a nivel de query, no de aplicación. Filtro defensivo en capa de datos.
Archivos
Los ficheros subidos se almacenan con path aislado por tenant. No existe un path que permita acceso cruzado entre tenants a nivel de almacenamiento.
Roles y permisos granulares
Cinco roles predefinidos con permisos diferenciados por módulo. Creación de roles personalizados para adaptar el acceso a la realidad de tu organización.
| Rol | Tickets | Clientes | Contratos | Inventario | Proyectos | Reportes | Config | Portal |
|---|---|---|---|---|---|---|---|---|
Super Admin | Todo | Todo | Todo | Todo | Todo | Todo | Todo | Todo |
Gestor | Todo | Crear/Ver | Crear/Ver | Crear/Ver | Crear/Ver | Todo | — | — |
Técnico | Crear/Ver | Ver | Ver | Ver | Solo propios | Solo propios | — | — |
Usuario portal | Solo propios | — | Solo propios | — | — | Solo propios | — | Solo propios |
Solo lectura | Ver | Ver | Ver | Ver | Ver | Ver | — | — |
Roles personalizados
Los 5 roles predefinidos cubren la mayoría de casos. Si necesitas algo específico, puedes crear roles custom combinando permisos por módulo: un técnico de networking que solo vea inventario de red, un gestor comercial con acceso solo a contratos y reportes, o un auditor con acceso de solo lectura global.
Patrones de acceso por perfil
Lo que ve cada tipo de usuario en su día a día. No es teórico: es lo que realmente aparece en su pantalla cuando inicia sesión.
Administrador MSP
Control total de la plataforma, incluyendo gestión de todos los tenants del MSP.
Puede acceder a:
- Todos los tenants y organizaciones
- Configuración global de la plataforma
- Gestión de usuarios y roles cross-tenant
- Reportes consolidados multi-cliente
- Contratos, facturación y SLA de todos los clientes
- Integraciones y webhooks globales
- Auditoría completa del sistema
Técnico MSP
Operativo day-to-day con acceso a los clientes asignados y sus activos.
Puede acceder a:
- Tickets de los clientes asignados
- Inventario de los clientes asignados
- Notas internas y diagnóstico
- Base de conocimiento (KB) global
- Proyectos en los que participa
- Time tracking de sus propias tareas
- SLA y prioridades de sus colas asignadas
Administrador cliente
Gestión completa dentro de su propia organización, sin visibilidad de otros tenants.
Puede acceder a:
- Solo datos de su organización
- Gestión de usuarios propios
- Reportes de su organización
- Tickets, inventario y contratos propios
- Configuración limitada (campos custom, flujos)
- Vista de consumo contractual
- Encuestas de satisfacción y KPIs propios
Usuario del portal
Acceso restringido al portal de autoservicio. Solo sus propios datos.
Puede acceder a:
- Crear y ver sus propios tickets
- Consultar base de conocimiento (KB)
- Ver estado de sus contratos y SLA
- Descargar adjuntos de sus tickets
- Rellenar encuestas de satisfacción
- Ver histórico de sus solicitudes
- Sin acceso a inventario ni facturación
Autenticación flexible y robusta
Desde usuario/contraseña con bcrypt hasta SSO empresarial con SAML 2.0. Configura el nivel de seguridad que cada cliente necesita.
Usuario y contraseña
Método predeterminado. Hashing bcrypt con salt aleatorio. Política de contraseñas configurable (longitud, complejidad, rotación). Bloqueo automático tras intentos fallidos.
SSO empresarial
Integración con proveedores de identidad corporativos. Soporte completo para flujos de autenticación federada sin duplicar credenciales.
Directorio / LDAP
Sincronización con Active Directory y LDAP. Importación automática de usuarios, grupos y estructura organizativa. Mapeo de grupos a roles de la plataforma.
2FA / MFA
Segundo factor configurable. Aplicable por rol o por tenant. Puede ser obligatorio para roles administrativos y opcional para el resto.
Sesiones seguras
Cookies HttpOnly con flag Secure. JWT gestionado del lado del servidor. Tiempo de expiración configurable y renovación transparente. Invalidación inmediata al cerrar sesión.
Ciclo de vida de tokens
Access token de corta duración (15 min). Refresh token con rotación. Revocación manual o automática por inactividad. Gestión centralizada de sesiones activas.
Configurable por tenant
Cada cliente puede configurar su método de autenticación de forma independiente. Un MSP puede usar SAML SSO para un cliente bancario, Active Directory sync para otro, y TOTP para el resto. La plataforma soporta todos los métodos simultáneamente sin conflicto.
Auditoría y trazabilidad completa
Cada acción queda registrada con quién, cuándo, qué y desde dónde. Exportable, filtrable y con retención configurable para cumplir con cualquier normativa.
| Fecha/Hora | Usuario | Acción | Recurso | Detalle | Nivel |
|---|---|---|---|---|---|
| 2024-12-15 09:14:22 | maria.garcia@acme.com | login.success | Sesión | Inicio de sesión — IP: 192.168.1.45, Chrome/120 | info |
| 2024-12-15 09:15:03 | maria.garcia@acme.com | ticket.update | TKT-4287 | Cambio de prioridad: P3 → P1. Motivo: "Caída servidor producción" | warning |
| 2024-12-15 09:22:47 | carlos.perez@msp.com | ticket.view | TKT-4287 | Acceso a ticket — Rol: Gestor, Tenant: Acme Corp | info |
| 2024-12-15 10:05:11 | admin@msp.com | user.create | USR-0092 | Nuevo usuario: ana.lopez@globalindustrial.com — Rol: Técnico | info |
| 2024-12-15 11:30:58 | sistema | sla.breach.warning | TKT-4190 | SLA P1 en riesgo — Tiempo restante: 12 min. Tenant: Nova Medica | critical |
| 2024-12-15 14:18:33 | desconocido@external.com | auth.blocked | — | Intento de acceso cross-tenant bloqueado. Origen: Tenant B → Tenant A | error |
Compliance listo
Los logs de auditoría cubren los requisitos de trazabilidad de ISO 27001 (control A.12.4) y SOC 2 (criterio CC6). Cada entrada incluye usuario, acción, recurso, timestamp e IP de origen.
Cumplimiento GDPR
Soporte para el derecho al olvido (anonimización de datos), portabilidad (exportación por tenant) y registro de accesos a datos personales. Ideal para MSP con clientes regulados.
Retención configurable
Política de retención configurable por tenant: desde 90 días hasta 5 años. Purging automático de logs expirados. Exportación antes de eliminación para archivo legal.
Por qué importa para un MSP
La seguridad no es solo técnica. Es un argumento comercial que te permite ganar licitaciones, retener clientes y justificar tu posición frente a alternativas menos profesionales.
Confianza del cliente
Cuando un cliente te confía sus datos —tickets, inventario, contratos, comunicaciones internas— necesita garantías objetivas. El multi-tenant real, el RBAC documentado y la auditoría completa son garantías que puedes enseñar, no solo prometer.
Requisitos regulatorios
Clientes de sanidad, finanzas o sector público necesitan cumplir con GDPR, ISO 27001 y regulaciones sectoriales. Sin auditoría, sin trazabilidad y sin aislamiento documentado, no puedes operar con ellos. La seguridad no es un extra: es el filtro de entrada.
Obligación contractual
Los contratos de servicios gestionados suelen incluir cláusulas de confidencialidad y aislamiento de datos. Si tu herramienta no garantiza esto a nivel técnico, estás asumiendo un riesgo que puede tener consecuencias legales y reputacionales.
Ventaja competitiva
En licitaciones contra competidores que usan hojas de cálculo o herramientas genéricas sin aislamiento real, poder presentar RBAC, auditoría exportable y compliance GDPR no es un detalle: es la diferencia entre ganar y perder el contrato.
Qué cambia en la práctica
De la incertidumbre a la garantía técnica demostrable
Escenarios de uso reales
MSP con 40+ clientes
Gestionar los datos de 40 clientes distintos en la misma plataforma, garantizando que ninguno vea información del otro. Necesitan demostrar aislamiento en auditorías de compliance.
Multi-tenant con tenant_id en cada consulta. Aislamiento en 4 capas (datos, sesiones, API, archivos). Auditoría completa con exportable y retención configurable.
- Cada cliente ve exclusivamente su información
- Logs de auditoría exportables para clientes regulados
- Roles granulares por cliente y por técnico
- Cumplimiento GDPR demostrable con trazabilidad
- SSO integrado con el directorio de cada cliente
IT Interno con departamentos
Departamentos de finanzas, RRHH y operaciones usan la misma plataforma. Necesitan que cada equipo acceda solo a sus activos y tickets, con reporting centralizado para el CIO.
Roles y permisos por departamento. Vista de inventario filtrada. Reportes globales solo para roles administrativos. Auditoría de accesos entre departamentos.
- Departamentos aislados con permisos diferenciados
- Inventario visible solo para el departamento propietario
- Reportes consolidados para dirección de IT
- Trazabilidad de quién accede a qué datos
- Escalado sencillo añadiendo nuevos departamentos
Seguridad que puedes demostrar, no solo prometer
Multi-tenant real, RBAC granular, auditoría exportable y compliance listo. Descubre cómo funciona en una demo personalizada.