SECURITY BY OWNERSHIP
Seguridad y despliegue privado
El self-hosting significa que los datos, las claves y las políticas de acceso quedan bajo tu control. La seguridad de IMCore se apoya en funciones reales, no en insignias de cumplimiento.
La seguridad es un perímetro del sistema, no una insignia
De la red y las claves al control de acceso y la auditoría, cada capa encaja con tu gobernanza existente.
Soberanía de datos
Self-hosted: los mensajes, los datos de usuarios y las claves permanecen en tus propios servidores / VPC y nunca pasan por un tercero.
Transporte y autenticación
Transporte cifrado WSS / TLS; conexiones autenticadas con JWT; lista de permitidos de Origin para WebSocket; límites de frecuencia en la API; protección SSRF en webhooks salientes.
Control de acceso y auditoría a prueba de manipulación
La consola de administración ofrece RBAC. Las acciones de administración entran a un registro de auditoría encadenado con HMAC, protegido por restricciones de inmutabilidad de la base de datos, con enmascaramiento recursivo de campos sensibles.
Ciclo de vida de los datos
Configura la retención de mensajes por versión de política, conversación o grupo. Archiva los mensajes caducados a almacenamiento de objetos y niveles fríos con manifiestos de checksum, y usa eliminación recuperable.
Titulares de datos y retención legal
Exportación completa de los datos del usuario con manifiestos de adjuntos, borrado/anonimización de cuentas y retenciones legales (legal hold) acotadas por usuario, conversación o grupo.
Seguridad del contenido
Moderación de contenido y filtrado de palabras sensibles integrados.
Despliegue y observabilidad
Despliegue en intranet / sin conexión; las métricas Prometheus (/metrics) y los health checks (/healthz) se integran con tu monitoreo.
Simulacros de respaldo y recuperación
Las herramientas de simulacro PostgreSQL/MySQL verifican los flujos de restauración y generan evidencia RPO/RTO en JSON. Los objetivos reales requieren simulacros periódicos en tu entorno de despliegue.
Postura de cumplimiento
No incluimos insignias de certificación de terceros precocinadas. El self-hosting te permite operar dentro de tu propio perímetro de cumplimiento: tus datos, tus claves, tu auditoría y tu política de acceso.
RESPONSIBLE DISCLOSURE
Found a security issue? Use the private channel
Report vulnerabilities by email rather than public issues. We acknowledge within 3 business days, aim for an initial assessment within 14 days, and ship fixes under coordinated disclosure with the release notes. The full policy is on the disclosure page.
BRING YOUR OWN MODEL
AI and your data
The server ships no telemetry or crash reporting and makes no unsolicited outbound calls. AI replies come from the model endpoint you configure (OpenAI-compatible API / Dify / Coze / your own webhook); conversation data lives only in your database and never reaches the vendor. Licenses verify locally — no online activation.
YOUR INFRASTRUCTURE. YOUR RULES.