Comparativa rápida
| Modo | Dónde se almacena el texto cifrado | Quién puede descifrar | Uso recomendado |
|---|---|---|---|
Modo gestionado en Cloud cloud | Plano de datos gestionado por XMemo, protegido mediante controles de acceso, autorización con alcance a nivel de aplicación y pistas de auditoría. La efectividad de RLS en base de datos depende de la verificación de cada despliegue. | El servidor de XMemo puede procesar el contenido de la memoria para recuperación, búsqueda, clasificación y exportaciones compatibles. | Configuración más rápida, capacidad completa de recuperación alojada, sin la carga de gestionar dispositivos o claves de recuperación. |
Modo Keyguard keyguard | Postgres gestionado por XMemo, pero la clave de sobre (envelope) está vinculada al KMS / HSM de tu organización. | El servidor solo puede descifrar si la concesión (grant) de tu KMS permite la operación unwrap. | Equipos empresariales que necesitan recuperación alojada y control de claves gestionadas por el cliente. |
Modo Vault vault | El Postgres gestionado por XMemo solo almacena texto cifrado opaco y metadatos del sobre (envelope metadata). | Solo los dispositivos registrados o el kit de recuperación pueden descifrar; XMemo no puede recuperar texto sin formato. | Custodia de conocimiento cero (Zero-knowledge); la pérdida de todos los dispositivos y materiales de recuperación supone la pérdida permanente. |
Qué almacena XMemo
- Registros de memoria: texto o texto cifrado de la memoria, metadatos, propiedad, marcas de tiempo y datos de búsqueda vectorial necesarios para la recuperación.
- Estado de configuración de la cuenta: modo de seguridad seleccionado, estado de finalización de configuración, recuento de transiciones de modo y pruebas de verificación previa (preflight) como el ID de vinculación de KMS o el marcador de recuperación de Vault.
- Registros de acceso y auditoría: sesiones, credenciales con alcance o hashes, enlaces de identidad y eventos de auditoría como setup_state_transition.
Las páginas públicas de XMemo nunca te pedirán que pegues una clave de API. Las configuraciones de agentes y MCP deben hacer referencia a variables de entorno o utilizar las interfaces de configuración oficiales del cliente.
Modo gestionado en Cloud
Los datos de memoria se almacenan en el plano de datos gestionado por XMemo con controles de acceso, autorización con alcance de aplicación y registros de auditoría. La seguridad a nivel de fila (RLS) en la base de datos es específica de cada despliegue.
- El servidor de XMemo puede procesar el contenido de la memoria para la recuperación semántica del lado del servidor, la clasificación y la exportación.
- Es el modo más cómodo, pero no es un modo de conocimiento cero (Zero-knowledge).
- La eliminación purga las filas de memoria y los metadatos asociados; las exportaciones DSAR pueden incluir texto sin formato.
Modo Keyguard
Keyguard mantiene la experiencia de recuperación alojada de XMemo, al tiempo que vincula las operaciones de sobre a claves en Azure Key Vault, AWS KMS, GCP KMS, KMIP o proveedores similares controlados por tu organización.
- El asistente guarda la vinculación de KMS y confirma personal_default_mode = keyguard.
- La recuperación exige que la concesión (grant) de tu KMS permanezca activa; revocar la concesión bloquea cualquier operación posterior de descifrado/unwrap.
- XMemo elimina su propio texto cifrado y metadatos; la rotación o destrucción de la clave KMS sigue bajo la custodia de tu organización.
Modo Vault
Vault es la opción de conocimiento cero (Zero-knowledge). El navegador o dispositivo cifra los datos antes de que salgan del equipo, y el servidor solo conserva el texto cifrado, la información de enrutamiento y los metadatos del sobre.
- XMemo no puede descifrar la memoria de Vault, no puede restablecer las claves de Vault y no puede recuperar datos si se pierden todos los dispositivos y los kits de recuperación.
- Las exportaciones DSAR de datos en Vault contienen texto cifrado y metadatos del sobre, que deben descifrarse localmente mediante un dispositivo o kit de recuperación.
- Las capacidades semánticas alojadas pueden verse limitadas a menos que la función pueda ejecutarse sobre representaciones proporcionadas por el cliente o que preserven la privacidad.
Límite de datos en producción
La arquitectura de producción de XMemo está delimitada por Postgres gestionado por el operador, verificación TLS y autorización a nivel de aplicación con alcance específico. La efectividad de RLS/contexto de tiempo de ejecución en base de datos depende de la verificación de cada despliegue. Supabase se proporciona únicamente como backend de desarrollo y compatibilidad, y no es una base de producción admitida para estas garantías de custodia.
- Postgres gestionado: el límite de almacenamiento de producción para cuentas, memorias, vectores, configuraciones y registros de auditoría.
- RLS en base de datos / contexto de tiempo de ejecución: son controles específicos del despliegue; el rol de tiempo de ejecución, el registro de migraciones, el indicador de runtime-context y la matriz CRUD de propietario/equipo deben verificarse en el entorno objetivo.
- Compatibilidad con Supabase: adecuado para entornos locales o adopción de código abierto (OSS), pero el comportamiento de service-role no equivale a las defensas reforzadas de producción.
Cómo verificar el modo actual
- Abre Memory Console -> Settings -> Security mode y confirma el modo mostrado en pantalla.
- Llama a GET /api/v1/me/setup/state; una cuenta configurada debe mostrar setup_state = setup_completed y el selected_mode previsto.
- Llama a GET /api/v1/me/security-mode; el estado (posture) debe exponer verified_effective_mode, new_write_mode, pending_write_mode, legacy_read_mode y migration_status.
- Keyguard: contrasta el key binding id mostrado en pantalla con los registros de auditoría de tu KMS. Vault: comprueba que las solicitudes de escritura salientes solo contengan texto cifrado opaco sin cadenas de texto legible reconocibles.
Fuente: Where is my data?