Tu postura de seguridad, verificable por quien te la pida.
Un cliente regulado, un auditor o tu consejo piden pruebas de tu madurez por marco. El Trust Center las publica con acceso público o controlado; ATTEST añade un documento firmado que cualquiera comprueba sin conexión y sin cuenta.
- Firma ML-DSA-65 (FIPS 204) en JWS desacoplado, sin autoridad certificadora
- Verificador de código abierto (Apache-2.0) que funciona sin conexión
attestation.json
Datos de ejemploCabecera protegida
- alg
- ML-DSA-65
- typ
- application/attest+jws
- kid
- q3Vn…8aLw
Afirmaciones firmadas
- slug
- organizacion-a
- visibility
- public
- generatedAt
- 09:00:00Z
- expiresAt
- 09:15:00Z
- NIS2 Sustancial
- ENS Básica
- DORA Sustancial
Banda global: Básica, la más débil
Salida de verify-attestation.sh
PASS alg is ML-DSA-65 (RFC 9964, IANA-permanent)PASS ML-DSA-65 signature verifies over protected.payloadPASS not expiredPASS overallBand (E6) 'basic' equals the weakest attested band — recomputed, not trustedVERIFIED — this document was signed by the holder of the key above and has not been altered since.That is all it proves. It does not prove the claims inside are true, that the key belongs to who you think, or that the document was meant to exist.Dos piezas que se complementan
El Trust Center es la página que ve tu interlocutor. ATTEST es la prueba firmada que puede llevarse y comprobar por su cuenta.
Trust Center
- Página con acceso público o restringido (NDA / revisión manual) según el contenido.
- Registro de auditoría de las solicitudes de acceso y de los eventos.
- Suscripción a novedades con doble confirmación (double opt-in).
- Cobertura por marco y documentación pública de tu organización en un solo sitio.
ATTEST
- Documento firmado bajo demanda con ML-DSA-65 (FIPS 204), en JWS desacoplado.
- Solo la banda de madurez de cada marco y la más débil: nunca puntuaciones, euros ni detalle de proveedores.
- Vida corta: 15 minutos por defecto y una hora como máximo, con desafío-respuesta opcional.
- Revocación de una clave o de las atestaciones previas de una organización mediante una lista de estado firmada.
De un Trust Center publicado a un VERIFIED que cualquiera reproduce
Nada de esto exige una cuenta de HodeiShield a quien verifica.
Publicas el Trust Center
La atestación se emite para un Trust Center publicado, público o con acceso controlado. No hay tarea programada ni almacén: el documento se firma en el momento de pedirlo.
Quien lo necesita pide la atestación
Se solicita al endpoint público de tu organización. Con un nonce propio, la respuesta queda ligada a esa petición.
curl -s https://app.hodeishield.com/api/public/attest/<slug> -o attestation.jsonDescarga las claves públicas
Las claves de verificación se publican en un endpoint abierto.
curl -s https://app.hodeishield.com/api/public/attest/keys -o keys.jsonVerifica sin conexión
verify-attestation.sh comprueba la firma, la caducidad y recalcula la banda global. Solo necesita bash 4, OpenSSL 3.5 y python3.
./verify-attestation.sh --attestation attestation.json --jwks keys.json
La verificación no llama a HodeiShield. La única excepción es opcional: el modo de lista de estado, si tú mismo le indicas una URL https.
Qué prueba una atestación y qué no
Es una autoevaluación de madurez firmada por HodeiShield. Esto es exactamente lo que añade la firma.
Lo que prueba
- Integridad: el documento no se ha modificado desde que se firmó.
- Origen: lo firmó quien posee la clave publicada.
- Momento: cuándo se emitió y hasta cuándo es válido.
Lo que no prueba
- Que lo atestado sea cierto: es una autoevaluación, no una verificación independiente.
- Cumplimiento ni certificación: no sustituye una auditoría ni ISO 27001, el ENS u otra certificación acreditada.
- Un registro de transparencia ni una raíz de confianza más allá de TLS y de fijar la clave publicada.
- Revocación de atestaciones sueltas: se revoca una clave o una organización, y lo compensa su vida corta.
Cada afirmación, con su prueba y su alcance
Lo que HodeiShield dice de ATTEST y del Trust Center, y dónde puedes comprobarlo.
Cada Trust Center publicado puede emitir una atestación firmada con ML-DSA-65 (FIPS 204) en JWS desacoplado.
Docs · Verificador de atestaciones (se abre en una pestaña nueva)Alcance. Firma afirmaciones de madurez; no las comprueba.
Atesta la banda de madurez de cada marco (cuatro bandas) y la más débil. Nunca puntuaciones, importes en euros ni detalle de proveedores.
En la demoAlcance. Una banda no es un resultado de auditoría.
Se verifica sin conexión con el verificador de código abierto (Apache-2.0) y las claves públicas, con bash 4, OpenSSL 3.5 y python3.
GitHub · hodeishield-attest-verifier (se abre en una pestaña nueva)Alcance. Recalcula la banda global; no valida que el contenido de las afirmaciones sea cierto.
La atestación tiene vida corta: 15 minutos por defecto y una hora como máximo.
En la demoAlcance. Con desafío-respuesta opcional para ligar la respuesta a quien la pide.
Una lista de estado firmada y publicada permite revocar una clave o todas las atestaciones previas de una organización.
Docs · Verificador de atestaciones (se abre en una pestaña nueva)Alcance. No revoca atestaciones individuales.
El Trust Center es público o restringido (NDA / revisión manual), deja un registro de auditoría de solicitudes y eventos, y sus suscripciones usan doble confirmación.
Docs · Guía del Trust Center (se abre en una pestaña nueva)Alcance. Qué publicas y a quién se lo concedes lo decides tú.
Sigue por aquí
- Cumplimiento multimarcoDe dónde salen las bandas: evidencia, crosswalk y hoja de ruta por marco.
- Gestión de riesgo de tercerosLa exposición en euros y el detalle de proveedores se quedan en tu consola; la atestación nunca los incluye.
- ENSLos 74 controles de HodeiShield, basados en el Anexo II del ENS, por nivel.
- DORALos controles de DORA, uno a uno.
Preguntas sobre ATTEST y el Trust Center
Las que hacen quienes tienen que fiarse de una atestación, y quienes tienen que emitirla.
¿Una atestación sustituye una auditoría o una certificación?
No. Es una autoevaluación de madurez firmada por HodeiShield. Prueba integridad, origen y momento de emisión, no que lo atestado sea cierto. No sustituye una auditoría ni ISO 27001, el ENS u otra certificación acreditada.
¿Qué ve exactamente mi cliente?
La banda de madurez de cada marco (cuatro bandas) y la más débil. Nunca puntuaciones, importes en euros ni detalle de tus proveedores.
¿Necesita mi cliente una cuenta de HodeiShield para verificarla?
No. Descarga las claves públicas y ejecuta el verificador de código abierto (Apache-2.0), que funciona sin conexión con bash 4, OpenSSL 3.5 y python3.
¿Cuánto dura y qué pasa si se compromete una clave?
Quince minutos por defecto y una hora como máximo. Una lista de estado firmada permite revocar una clave o las atestaciones previas de una organización; no revoca atestaciones sueltas, y lo compensa la vida corta.
¿El Trust Center tiene que ser público?
No. Puede ser público o restringido (NDA / revisión manual). Las solicitudes de acceso y los eventos quedan en un registro de auditoría.
¿Por qué ML-DSA-65?
Es el algoritmo de firma estandarizado en FIPS 204. Se usa para firmar las atestaciones; no protege el tráfico en vivo.
¿Qué certificaciones tenéis?
Hodeitek S.L., la empresa titular, está certificada en ISO/IEC 27001 y en el ENS categoría Media (certificado nº 34/5704/26/09103, OCA Instituto de Certificación), con un alcance que incluye el servicio SaaS HodeiShield. No certificamos el cumplimiento de tu organización: lo medimos.
Mira una atestación emitida y verificada
En la demo publicamos un Trust Center de ejemplo, emitimos una atestación y la verificamos sin conexión, con tu combinación de marcos.
¿Prefieres comprobarlo antes? El verificador y la documentación son públicos.