El acortador que tu equipo de seguridad no rechazará.
Mides la postura de cumplimiento, el tiempo de respuesta a incidentes y el número de cuestionarios de proveedores que puedes superar. Elido es el acortador que tu equipo de seguridad no rechazará.
- SSO SAML + SCIM mediante nuestro proveedor de SSO o nativo - Okta, Entra ID, Google
- Base de datos principal en la UE; aún sin selección de región por espacio de trabajo
- SOC 2 en preparación, sin informe emitido
- ISO 27001 no certificada; DPA disponible bajo petición
Cómo funciona el SSO
Okta o Entra ID → SAML → Elido. Doce minutos desde cero.
El SSO se enruta a través de WorkOS, que normaliza las diferencias de protocolo entre SAML 2.0 y OIDC y las peculiaridades por IdP que nadie quiere mantener por su cuenta. Tu equipo configura la aplicación SAML una vez en su IdP; Elido capta usuarios por dominio de correo → mapeo de conexión.
- Step 1
User signs in
okta.com / login.microsoftonline.comIdP authenticates against the corporate directory.
- Step 2
SAML assertion
WorkOS connection · domain-routedEmail-domain → IdP connection mapping, no per-user setup.
- Step 3
Elido session
edge auth · 200 OKSession token issued, scope derived from group claims.
- Step 4
Workspace landing
app.elido.app/w/your-orgRole + IP allowlist evaluated; audit row written.
Aprovisionamiento SCIM
Añade un usuario en Okta. Está en Elido en cinco minutos.
La sincronización de directorio SCIM 2.0 aprovisiona y desaprovisiona usuarios automáticamente. El mapeo de claims de grupo convierte los grupos del IdP en roles del espacio de trabajo de Elido, de modo que un ascenso en el sistema de RR.HH. se refleja en Elido sin ningún ticket. Los empleados salientes se desaprovisionan dentro del ciclo de sincronización SCIM, con las sesiones activas revocadas y la acción registrada.
- Aprovisionamiento automático al añadir al grupoMembresía en grupo del IdP → invitación al espacio de trabajo, sin paso manual
- Mapeo de roles por claim de grupoengineering-eu → editor, finance → viewer, configurable
- Desaprovisionamiento = revocación de sesiónEl evento DELETE invalida tokens; las claves de API se revocan por política
- Cada evento SCIM queda auditadoLog de solo adición con actor, antes/después, IP de origen
- 1User added in Okta
Joins the elido-eu-engineering directory group as part of HR onboarding.
okta.comPOST /scim/v2/UsersT+75s - 2WorkOS pushes to Elido
SCIM sync cycle picks up the create event; no manual invite needed.
workos.com → elido.appscim.create user@orgT+150s - 3Elido provisions the user
Account created, workspace invitation surfaced in pending state.
api-coreuser.id = usr_01HK…T+225s - 4Group claim → role
engineering → editor; billing-admins → admin. Mapping is configurable.
policyrole: editor (workspace.eu)T+300s - Deprovision is the same flow in reverse - DELETE event revokes sessions and rotates affected API keys per policy.
Modelo de autorización
RBAC basado en Cedar, no una jerarquía fija de tres niveles.
La siguiente matriz es la vista predeterminada. Los roles personalizados permiten expresar cosas como «crear enlaces solo en este dominio» o «solo lectura en analítica, sin acceso a facturación» como políticas Cedar. Los roles se definen por espacio de trabajo, de modo que distintas unidades de negocio pueden tener estructuras de roles diferentes.
Lo que TI empresarial obtiene realmente
- SSO SAML + SCIM mediante nuestro proveedor de SSO o nativo - Okta, Entra ID, Google
- Base de datos principal en la UE; aún sin selección de región por espacio de trabajo
- SOC 2 en preparación, sin informe emitido
- ISO 27001 no certificada; DPA disponible bajo petición
- BAA en Business+ para cargas de trabajo adyacentes a HIPAA
- POPs de edge dedicados disponibles para contratos Enterprise
Lo que el departamento de TI empresarial realmente necesita de un acortador
Los acortadores de Shadow-IT fallan en las compras debido a tres preguntas: quién tiene acceso, dónde están los datos y si podemos auditarlos. Las siguientes funciones cierran esas brechas.
SAML SSO vía WorkOS con aprovisionamiento de usuarios SCIM
El SSO es a través de WorkOS, que soporta SAML 2.0 y OIDC con cualquier IdP principal: Okta, Azure AD / Entra ID, Google Workspace, OneLogin, Ping y otros. El mapeo de dominio de correo electrónico a conexión significa que los usuarios son dirigidos al IdP correcto sin ninguna configuración por su parte. La sincronización de directorio SCIM aprovisiona y desaprovisiona usuarios automáticamente: los nuevos empleados añadidos al grupo IdP correspondiente reciben una invitación al espacio de trabajo de Elido en cuestión de minutos; los empleados que se van son desaprovisionados dentro del ciclo de sincronización SCIM sin necesidad de un ticket manual de baja. Los grupos del IdP se mapean a los roles del espacio de trabajo de Elido; configuras el mapeo una vez. Los cambios de rol en el IdP se propagan automáticamente. Esta es una integración gestionada por WorkOS: no mantenemos un conector por IdP; WorkOS normaliza los protocolos y Elido consume un único endpoint SCIM.
Roles personalizados con RBAC estilo Cedar - más allá de propietario/admin/miembro
El modelo de roles de Elido se basa en Cedar, lo que significa que los permisos son expresiones de política evaluadas en el momento de la solicitud en lugar de una jerarquía fija de tres niveles. De serie obtienes Propietario, Admin, Miembro y Lector. Los roles personalizados te permiten definir políticas como 'puede crear enlaces en este dominio pero no puede borrar ni cambiar reglas de redirección' o 'acceso de solo lectura a analíticas pero sin acceso a la configuración de facturación'. Los roles se asignan por espacio de trabajo, no globalmente: una empresa con múltiples espacios de trabajo puede tener diferentes estructuras de roles por unidad de negocio. La lista de IPs permitidas (rangos CIDR) se evalúa junto con las comprobaciones de roles: un usuario con el rol correcto pero fuera del rango de IP permitido es rechazado. Esto es relevante para equipos híbridos donde los contratistas acceden a un subconjunto diferente al de los empleados a tiempo completo.
Registro de auditoría de solo adición transmitido a tu SIEM en tiempo real
Cada acción del espacio de trabajo - crear, actualizar o eliminar un enlace; cambio de ajustes; invitación de miembros y cambio de rol; emisión y rotación de claves de API; reclamación de dominio personalizado; exportación - queda en un registro de auditoría de solo anexado con actor, marca de tiempo, IP de origen, diff antes/después y un tipo de evento estructurado. Los registros se conservan 730 días por defecto, configurable por espacio de trabajo. El firehose SIEM transmite eventos por webhook (firmado con HMAC-SHA256) a Splunk, Datadog, ELK o cualquier receptor HTTP en tiempo real. El registro se puede consultar en el panel pero no editar; es de solo anexado en la aplicación y cada entrada está encadenada por hash a la anterior, de modo que cualquier manipulación es detectable. Postura de cumplimiento: el registro de auditoría es la evidencia principal para las revisiones de control de acceso, la gestión de cambios y la respuesta a incidentes. Cuando las entradas antiguas caducan se registra un metaevento de «purga por conservación», de modo que el hueco en sí es auditable.
Residencia en la UE, lista de IPs permitidas y exportación a BigQuery para requisitos de gobernanza de datos
La base de datos principal, el almacén de analítica y las copias de seguridad están alojados en la UE. Los nodos de redirección en EE. UU. (Ashburn) y Singapur también procesan solicitudes de visitantes; la selección de región por espacio de trabajo aún no está disponible. La lista de IP permitidas (CIDR) en Business restringe el acceso al espacio de trabajo a rangos de salida conocidos, útil para equipos con VPN o IP de oficina fijas. La exportación a BigQuery envía el flujo completo de eventos de clic y del registro de auditoría a un conjunto de datos de BigQuery de su propiedad, programado o por disparador. También se admiten Snowflake y S3. Para cargas reguladas que exigen que los datos permanezcan en una infraestructura concreta, el autoalojamiento está disponible por contrato (Enterprise); contacte con [email protected]. El BAA de HIPAA está disponible en Business+: las salvaguardas técnicas (cifrado, registro de auditoría, controles de acceso, notificación de brechas) están implementadas; el BAA es la envoltura legal alrededor de ellas.
Evidencias de cumplimiento: DPA, subencargados, estado de seguridad
Respondemos a las preguntas de compras sin largas cadenas de correos: el DPA está disponible bajo petición en [email protected] (incluye las CCT de la UE); la lista de subencargados es pública en /legal/subprocessors (13 proveedores); los informes de vulnerabilidades van a [email protected] y el security.txt está en la ruta estándar. Estado de las certificaciones, sin rodeos: SOC 2 está en preparación y no se ha emitido ningún informe; ISO 27001 no está certificada. El Trust Center en /trust refleja el estado actual.
El stack con el que trabajarás
- SSO (SAML / OIDC)
- Aprovisionamiento SCIM
- Roles personalizados (RBAC)
- Lista de IP permitidas
- Registro de auditoría + flujo SIEM
- Residencia de datos en la UE
- HIPAA BAA
Qué mide tu equipo de seguridad
- Número de subprocesadores
- 13, lista pública
- Retención del registro de auditoría
- 730 días por defecto
- Tiempo de respuesta DSAR
- Menos de 30 días
Elido vs Bitly Enterprise vs Bl.ink para TI empresarial
Bitly Enterprise y Bl.ink son opciones de grado empresarial con largas trayectorias. La siguiente comparación se centra en las funciones que evalúan los equipos de TI empresariales, no en afirmaciones de marketing.
Preguntas de TI empresarial
¿Qué IdPs soporta el SSO?
Cualquier IdP que soporte SAML 2.0 o OIDC: Okta, Azure AD / Entra ID, Google Workspace, OneLogin, Ping, Rippling y otros. La integración es a través de WorkOS, que normaliza las diferencias de protocolo. Si tu IdP habla SAML u OIDC, funciona. La configuración es un flujo guiado por WorkOS: configura la aplicación SAML en tu IdP, pega la URL de metadatos en Elido, y listo.
¿Cómo funciona el desaprovisionamiento SCIM?
WorkOS gestiona el endpoint SCIM 2.0. Cuando se elimina un usuario del grupo correspondiente en tu IdP, WorkOS envía un evento DELETE a Elido. Elido revoca inmediatamente los tokens de sesión del usuario y marca la cuenta como inactiva. Las claves API activas asociadas a ese usuario no se revocan automáticamente; eso es un paso aparte que configuras en los ajustes de SCIM, con la opción predeterminada de revocar al desaprovisionar. La acción de desaprovisionamiento aparece en el registro de auditoría dentro del ciclo de sincronización SCIM (típicamente menos de 5 minutos).
¿Qué cubre la lista de IPs permitidas?
Inicio de sesión en el dashboard, solicitudes API y confirmación de entrega de webhooks. Se admite la notación CIDR; los rangos múltiples se separan por comas. Las solicitudes desde fuera de la lista de permitidas devuelven un 403 con un evento de auditoría registrado - sin caídas silenciosas. La lista de IPs permitidas se evalúa después de la autenticación, no antes, por lo que una autenticación fallida desde fuera de la lista de permitidas sigue registrando el intento.
¿Podemos obtener un BAA para el cumplimiento de HIPAA?
Sí, en Business+. El BAA cubre el rol de Elido como asociado de negocio para los espacios de trabajo donde la PHI pueda pasar a través de metadatos de enlaces o analíticas. Las salvaguardas técnicas (cifrado en reposo y en tránsito, registro de auditoría, controles de acceso, notificación de brechas) ya están implementadas. Contacta con [email protected] para la plantilla del BAA.
¿Cuál es el estado de SOC 2?
SOC 2 está en preparación y no se ha emitido ningún informe. ISO 27001 no está certificada. No compartimos evidencias de auditoría que no tenemos; escriba a [email protected] para recibir las respuestas actuales al cuestionario de seguridad. El Trust Center en /trust refleja el estado actual.
¿Cómo funcionan los roles personalizados? ¿Puedo restringir a un equipo a solo lectura en un dominio específico?
Sí. Los roles personalizados definen políticas basadas en Cedar que pueden limitar los permisos a dominios específicos, carpetas específicas u operaciones específicas (crear/leer/actualizar/borrar). Un rol que permite la creación de enlaces solo en un dominio personalizado específico y acceso de solo lectura a las analíticas es una política válida. Los roles son por espacio de trabajo; un usuario puede tener diferentes roles en diferentes espacios de trabajo. La evaluación de la política ocurre en el momento de la solicitud, no al iniciar sesión.
¿Existe una opción de edge dedicada para clientes Business?
El nivel Business utiliza los POPs de edge compartidos de Elido (región de la UE, EE. UU. Este, Asia-Pacífico). Un edge dedicado - tu propia flota de nodos de redirección, con tráfico aislado de otros inquilinos - es una conversación para Enterprise. Contacta con [email protected]. El autoalojamiento también está disponible por contrato (Enterprise).
¿Cuál es el SLA de notificación de brechas?
24 horas para la notificación al cliente en caso de brechas confirmadas de datos personales; 72 horas para la notificación al regulador (GDPR Art. 33). La notificación cubre lo que sabemos en ese momento - no esperamos a la forense completa. El proceso está en /trust/incident-response.
Lista de lectura de TI empresarial
SAML/OIDC gestionado por WorkOS, desaprovisionamiento SCIM 2.0, guías de IdP.
Hostname del portal con marca propia, correos transaccionales, paridad de sub-procesadores.
Estado de SOC 2, subencargados, divulgación de vulnerabilidades.
Adenda de tratamiento de datos de RGPD, CCT de la UE incluidas, disponible bajo petición.
OpenAPI 3.1, SDKs en TypeScript / Go / Python, webhooks.
Postura de cifrado, modelo RBAC, log de auditoría, lista de IPs permitidas.
¿No estás seguro de qué enfoque se adapta?
La mayoría de los equipos comienzan como uno y crecen hasta abarcar los cuatro. Nuestro equipo de ventas puede revisar tu stack específico en 20 minutos.