> ## Índice de la documentación > Consulta el índice completo de la documentación en: https://developer.rhombus.com/llms.txt > Úsalo para descubrir todas las páginas disponibles antes de seguir explorando. # Seguridad y confianza > Cómo protege Rhombus su plataforma para desarrolladores y de qué es responsable tu integración: reporte de vulnerabilidades, cumplimiento, residencia de datos, seguridad del transporte, endpoints y puertos de red, y una lista de comprobación de seguridad. > **Note**: Esta página se tradujo automáticamente. Si encuentras errores o tienes sugerencias, [escríbenos](mailto:support@rhombus.com). Rhombus protege la plataforma a la que llama tu integración; tu integración protege sus credenciales, sus endpoints y lo que hace con los datos. Esta página cubre ambos lados e indica dónde encontrar la documentación de cumplimiento de Rhombus. ## Reporta una vulnerabilidad Escribe a con lo que encontraste, los pasos para reproducirlo y su impacto. Haz pruebas solo contra tu propia organización y no accedas ni modifiques datos de otros clientes. El mismo contacto se publica en [security.txt](https://developer.rhombus.com/.well-known/security.txt), y la política está en el [Trust Center](https://www.rhombus.com/trust/). Si una credencial tuya quedó expuesta, por ejemplo una clave de API publicada en un repositorio público, no esperes: elimina la clave en la consola y crea una nueva ([Rotar una clave de API](https://developer.rhombus.com/es/authentication/permissions#rotar-una-clave-de-api)). Eliminar una clave o revocar una autorización OAuth surte efecto en un plazo máximo de 60 segundos en todos los hosts, y las conexiones WebSocket y de medios abiertas que la usan se cierran. Los tokens federados emitidos con esa clave o autorización también dejan de funcionar, y un token federado filtrado se puede revocar por separado ([Tokens federados](https://developer.rhombus.com/es/authentication/federated-tokens)). ## Cumplimiento El programa de seguridad y cumplimiento de Rhombus cubre SOC 2, NDAA, GDPR y TAA. Los informes, certificados y la documentación de seguridad y privacidad están en el [Trust Center](https://www.rhombus.com/trust/). ## Residencia de datos Cada organización vive en una región, EE. UU. o UE. Una organización aprovisionada en la UE se aloja en la Unión Europea: su tráfico de API, el almacenamiento de video y el procesamiento en la nube permanecen en la región. Las credenciales están ligadas a la región, así que una clave o un token de EE. UU. no funciona en los hosts de la UE. [Regiones de API](https://developer.rhombus.com/es/api-regions) enumera los hosts de cada región. ## Cómo mide su uso este sitio Este sitio registra su uso de forma anónima para mejorar la documentación: las páginas leídas, las búsquedas y los resultados elegidos, las preguntas a Ask AI y las operaciones de la API enviadas con Try it (solo la operación y su estado, nunca parámetros, cuerpos ni claves). No usa cookies ni guarda nada que te identifique. Todo lo que parezca una clave o una dirección de correo en lo que escribes se elimina antes de guardarse, y los datos permanecen en los sistemas de Rhombus. ## Seguridad del transporte Todos los endpoints de API, medios y WebSocket de Rhombus usan TLS: los medios se sirven por HTTPS y WebSockets seguros. Las cámaras de tu red local sirven sus transmisiones por HTTPS en el puerto 8000, en nombres de host como `192-168-1-50.lan.rhombussystems.com` que se resuelven a la dirección local de la cámara. ## Endpoints de red Para permitir una integración a través de un firewall, abre HTTPS saliente hacia estos hosts (las organizaciones de la UE usan los hosts `.eu.` que enumera [Regiones de API](https://developer.rhombus.com/es/api-regions)): | Propósito | Host | Puerto | | --------------------------------------------- | --------------------------------------------------------------------------------------- | ------ | | API REST | `api2.rhombussystems.com` | 443 | | Instantáneas, fotogramas y descargas de clips | `media.rhombussystems.com` | 443 | | Transmisiones en vivo y grabadas | Hosts por cámara bajo `dash.rhombussystems.com`, devueltos por `getMediaUris` | 443 | | WebSocket de eventos | `ws.rhombussystems.com` | 8443 | | Inicio de sesión y tokens OAuth | `auth-web.rhombussystems.com` | 443 | | Cámaras de tu red local | `.lan.rhombussystems.com`, que se resuelve a la dirección local de la cámara | 8000 | Los webhooks van en sentido contrario: Rhombus se conecta a tu endpoint HTTPS. Autentícalos por su [firma](https://developer.rhombus.com/es/webhooks#verificación-de-firmas-de-webhooks), no por la dirección de origen. ## Responsabilidades de tu integración - **Mantén las claves de API en los servidores.** Los navegadores, las apps móviles y todo lo que los usuarios pueden inspeccionar reciben [tokens federados](https://developer.rhombus.com/es/authentication/federated-tokens) de corta duración, limitados a un dispositivo cuando sea posible y ligados al origen de tu sitio con `domain` cuando se usan en un navegador. - **Da a cada integración su propia clave con el rol más limitado** que funcione, y rota las claves periódicamente y siempre que una pueda haberse filtrado ([Permisos y rotación de claves](https://developer.rhombus.com/es/authentication/permissions)). - **Verifica cada webhook** antes de actuar sobre él y sirve tu receptor por HTTPS ([Receptores de webhooks](https://developer.rhombus.com/es/implementations/webhook-listener)). - **Pon a una persona en el circuito para las acciones físicas.** Desbloquear puertas, los bloqueos y el escalamiento de alarmas merecen su propia clave y, cuando los activa una automatización o un asistente de IA, un paso de aprobación humana. Una app OAuth que no los necesita no solicita el scope `physical` ([Iniciar sesión con Rhombus](https://developer.rhombus.com/es/oauth-authentication)). - **Trata los datos de Rhombus como sensibles.** Las cargas útiles, el video y los tokens identifican personas y lugares: mantenlos fuera de los registros compartidos y la analítica, y aplica tus propias reglas de retención. - **Vigila el registro de auditoría.** Las acciones hechas con una clave de API se registran con el nombre de la clave ([Registro de auditoría](https://developer.rhombus.com/es/authentication/permissions#registro-de-auditoría)).