Seguridad y confianza

Rhombus protege la plataforma a la que llama tu integración; tu integración protege sus credenciales, sus endpoints y lo que hace con los datos. Esta página cubre ambos lados e indica dónde encontrar la documentación de cumplimiento de Rhombus.

Reporta una vulnerabilidad

Escribe a security@rhombussystems.com con lo que encontraste, los pasos para reproducirlo y su impacto. Haz pruebas solo contra tu propia organización y no accedas ni modifiques datos de otros clientes. El mismo contacto se publica en security.txt, y la política está en el Trust Center.

Si una credencial tuya quedó expuesta, por ejemplo una clave de API publicada en un repositorio público, no esperes: elimina la clave en la consola y crea una nueva (Rotar una clave de API). Eliminar una clave o revocar una autorización OAuth surte efecto en un plazo máximo de 60 segundos en todos los hosts, y las conexiones WebSocket y de medios abiertas que la usan se cierran. Los tokens federados emitidos con esa clave o autorización también dejan de funcionar, y un token federado filtrado se puede revocar por separado (Tokens federados).

Cumplimiento

El programa de seguridad y cumplimiento de Rhombus cubre SOC 2, NDAA, GDPR y TAA. Los informes, certificados y la documentación de seguridad y privacidad están en el Trust Center.

Residencia de datos

Cada organización vive en una región, EE. UU. o UE. Una organización aprovisionada en la UE se aloja en la Unión Europea: su tráfico de API, el almacenamiento de video y el procesamiento en la nube permanecen en la región. Las credenciales están ligadas a la región, así que una clave o un token de EE. UU. no funciona en los hosts de la UE. Regiones de API enumera los hosts de cada región.

Cómo mide su uso este sitio

Este sitio registra su uso de forma anónima para mejorar la documentación: las páginas leídas, las búsquedas y los resultados elegidos, las preguntas a Ask AI y las operaciones de la API enviadas con Try it (solo la operación y su estado, nunca parámetros, cuerpos ni claves). No usa cookies ni guarda nada que te identifique. Todo lo que parezca una clave o una dirección de correo en lo que escribes se elimina antes de guardarse, y los datos permanecen en los sistemas de Rhombus.

Seguridad del transporte

Todos los endpoints de API, medios y WebSocket de Rhombus usan TLS: los medios se sirven por HTTPS y WebSockets seguros. Las cámaras de tu red local sirven sus transmisiones por HTTPS en el puerto 8000, en nombres de host como 192-168-1-50.lan.rhombussystems.com que se resuelven a la dirección local de la cámara.

Endpoints de red

Para permitir una integración a través de un firewall, abre HTTPS saliente hacia estos hosts (las organizaciones de la UE usan los hosts .eu. que enumera Regiones de API):

Los webhooks van en sentido contrario: Rhombus se conecta a tu endpoint HTTPS. Autentícalos por su firma, no por la dirección de origen.

Responsabilidades de tu integración

• Mantén las claves de API en los servidores. Los navegadores, las apps móviles y todo lo que los usuarios pueden inspeccionar reciben tokens federados de corta duración, limitados a un dispositivo cuando sea posible y ligados al origen de tu sitio con domain cuando se usan en un navegador.
• Da a cada integración su propia clave con el rol más limitado que funcione, y rota las claves periódicamente y siempre que una pueda haberse filtrado (Permisos y rotación de claves).
• Verifica cada webhook antes de actuar sobre él y sirve tu receptor por HTTPS (Receptores de webhooks).
• Pon a una persona en el circuito para las acciones físicas. Desbloquear puertas, los bloqueos y el escalamiento de alarmas merecen su propia clave y, cuando los activa una automatización o un asistente de IA, un paso de aprobación humana. Una app OAuth que no los necesita no solicita el scope physical (Iniciar sesión con Rhombus).
• Trata los datos de Rhombus como sensibles. Las cargas útiles, el video y los tokens identifican personas y lugares: mantenlos fuera de los registros compartidos y la analítica, y aplica tus propias reglas de retención.
• Vigila el registro de auditoría. Las acciones hechas con una clave de API se registran con el nombre de la clave (Registro de auditoría).