En monday.com, la seguridad tiene máxima prioridad. Queremos asegurarnos de que tengas confianza cuando desarrolles tu flujo de trabajo con nosotros. Este artículo responderá preguntas sobre la seguridad y la implementación de TI de la integración de Outlook.

 

Aspectos básicos

¿Quién es el desarrollador de la integración de Outlook?

El desarrollador de la integración de Outlook es monday.com.

 

La integración es entre monday.com y Microsoft. ¿En qué entorno se ejecuta la integración?
La integración se ejecuta en servidores de monday.com. Recibimos webhooks de Microsoft, realizamos lógica por nuestra parte y luego usamos conexiones API para obtener datos de Microsoft, enviar e-mails o realizar una acción en monday.com, como crear un elemento o agregar una actualización (según la integración).

 

Autenticación

¿Qué utiliza monday.com para la autenticación?

Utilizamos el protocolo OAuth 2.0 para la autenticación. A través de OAuth 2.0, los usuarios pueden autorizar los alcances específicos que requiera la integración de monday.com. Después de que el usuario selecciona alcances específicos, hay un protocolo de enlace entre los servidores de Microsoft y monday.com para garantizar que la transacción sea segura.

La autorización da como resultado que Microsoft nos brinde un token de acceso que podemos usar para realizar llamadas API en nombre del usuario autenticado. Solo podemos realizar llamadas API que estén dentro del alcance autorizado por el usuario. Al utilizar llamadas API, monday.com solo puede acceder a información que el usuario que inició la autorización puede hacer o ver en la cuenta y que está dentro de los alcances autorizados.

 

¿Dónde puedo obtener más información sobre OAuth 2.0?

Puedes leer más sobre el protocolo estándar OAuth 2.0 aquí.

 

¿monday.com tiene acceso a mi contraseña de Outlook?

En ningún momento monday.com tiene acceso a la contraseña del usuario autorizado para Outlook. Esta información nunca se comparte con nosotros.

 

Permisos

¿Por qué monday.com requiere permisos completos de acceso de lectura y escritura?

Entendemos por qué te puede preocupar otorgar acceso a toda tu cuenta a cualquier aplicación de terceros. Es por eso que queremos brindarte una idea de por qué solicitamos permiso de acceso de lectura total.

Se necesitan permisos de lectura y escritura para que la integración funcione.

Solicitamos permisos de lectura y escritura para los e-mails. Para permitir la salida de e-mails, debemos tener la capacidad de enviar e-mails. Esto requiere permisos de escritura. Para recibir e-mails, necesitamos permisos de lectura para ingresar la información a monday.com y mostrártela.

 

¿Cómo funciona exactamente la integración con estos permisos?

Cuando un usuario crea una integración entrante, nos suscribimos para recibir notificaciones de Outlook sobre cualquier e-mail que reciba este usuario. Luego, cuando se recibe un e-mail, Outlook nos notifica y nos proporciona el ID del mensaje pero no el mensaje en sí.

Para continuar con la integración, lo primero que hacemos es utilizar el ID proporcionado por Microsoft para recuperar el mensaje a través de la API. Solo recuperamos mensajes de buzones relevantes, lo que significa que no recuperamos aquellos que están en buzones como las carpetas Spam, Eliminados o Enviados. Una vez que tengamos el mensaje procedemos a ejecutar la integración y comprobar las condiciones que elegiste al configurar la integración. Según esas condiciones, creamos un elemento o una actualización desde el e-mail. 

 

¿Cuál es el alcance del acceso otorgado a monday.com con permisos completos de lectura y escritura? ¿monday.com lee todos los e-mails del buzón?

Con permiso, monday.com solo puede leer mensajes dentro del buzón del usuario que autorizó la integración, y monday.com solo lo hará en una de dos situaciones:

1. La primera situación es cuando se establece la conexión por primera vez. En ese momento, monday.com buscará el último e-mail recibido en tu buzón de Outlook para asegurarse de que la conexión se haya realizado a un buzón válido. La intención es comprobar si monday.com puede recuperar un e-mail correctamente. No se hace nada con el e-mail y el e-mail no se guarda en ninguna parte.
2. La segunda situación se describe en la respuesta a la pregunta anterior de esta sección. Cuando un usuario configura una integración para los e-mails entrantes y autoriza el acceso, monday.com recupera los e-mails de Microsoft cuando Microsoft envía una notificación.

 

La integración es entre monday.com y Microsoft. ¿Tienen acceso a los datos terceros?

Ningún tercero tiene acceso a los datos a través de esta integración.

 

¿Qué protocolos de seguridad existen?

El protocolo Oauth2 garantiza que tengamos una forma segura de autorizar y obtener un token de acceso para el usuario que configuró y autorizó la integración. Microsoft también requiere que monday.com envíe una cadena aleatoria secreta. Esta es una garantía adicional tanto para Microsoft como para monday.com de que las solicitudes que se realizan provienen de un host confiable. El token se guarda en nuestro administrador de secretos en AWS y no se puede acceder a él de ninguna otra manera.

 

¿Cómo puedo configurar permisos que limiten quién tiene la capacidad de crear una integración?

Para establecer permisos que limiten quién puede crear integraciones, visita nuestro artículo "Cómo configurar permisos de cuenta".

 

Almacenamiento de datos

¿Cómo funciona la integración en términos de transferencia de datos hacia y desde monday.com y Outlook?

La integración se comunica únicamente a través de la API; monday.com realiza llamadas API a Microsoft Graph y recibe notificaciones de Microsoft a través de nuestra API.

 

¿Cómo funciona el almacenamiento de datos?

Almacenamos el token de acceso en una herramienta de gestión de secretos llamada Bóveda. Los datos de autenticación (token de acceso) que almacena la herramienta están cifrados. Solo se puede acceder al token de acceso mediante solicitudes para este usuario específico realizadas desde nuestro servidor.

 

¿Existen "copias de seguridad"?

No, no tenemos una base de datos de respaldo separada para los datos de autenticación de la bóveda.

 

¿Cuánto tiempo persisten los datos relacionados con O365 dentro de monday.com?

Hay varios tipos de datos relacionados con la aplicación O365 que persisten:

• Comprobación única para garantizar que la conexión sea válida. Esta es una verificación que se realiza al crear la conexión (autenticación) solo para asegurarse de que el e-mail de Outlook sea válido. Se recupera un mensaje al azar de la API para probar si recibimos una respuesta válida o un error. Este mensaje no se lee ni se guarda en ningún lado.
• Datos de autenticación (token de acceso, token de actualización, nombre para mostrar). Estos son los datos utilizados para acceder a la API en nombre del usuario. Recibimos estos datos de Microsoft después de completar el protocolo Oauth2 si el usuario realmente autorizó a monday.com a acceder a la API en su nombre. Estos datos se almacenan en la Bóveda, una herramienta de gestión de secretos, y persisten allí a menos que el usuario solicite eliminarlos. Los datos de autenticación caducan después de un corto tiempo y deben actualizarse constantemente para garantizar que los datos y el acceso sigan siendo válidos. Además, el usuario siempre puede anular la conexión en su cuenta de Microsoft. Consulta la última sección de este artículo para obtener más detalles sobre cómo anular la conexión. Cuando se anula la conexión, los datos de autenticación que se guardan en monday.com ya no funcionarán porque ya no serán válidos para acceder a la API en nombre del usuario. Esta invalidación ocurre como medida de precaución por parte de Microsoft en varios otros casos, como cambio de contraseña, cierre de sesión forzado, MFA agregado, etc.
• Cualquier dato relacionado con la integración. Cualquier dato que esté involucrado en la integración, como el cuerpo o el asunto de un e-mail que la persona que utiliza la integración elige usar al activar un modelo de integración, se guarda como datos en tu tablero de cualquier manera que elijas agregarlo y se guardará en las bases de datos de los elementos correspondientes del tablero (por ejemplo: nombre del elemento, sección de actualizaciones, etc.) con monday.com hasta que se elimine la información.

 

Anular acceso

¿Cómo anulo el acceso de monday.com a mi cuenta de Outlook?

Si en algún momento deseas anular el acceso de monday.com a Outlook, puedes hacerlo. Para anular el acceso, ve a Outlook y revisa las aplicaciones de terceros a las que se les haya otorgado acceso a tu cuenta. Si anulas el acceso de monday.com, el token que monday.com guardó ya no funcionará. A partir de ese momento, monday.com no podrá realizar llamadas API en tu nombre. Si monday.com intenta realizar una solicitud después de anular el acceso, la solicitud fallará porque monday.com ya no tendrá un token válido.

 

 

 

 

Si tienes preguntas, comunícate con nuestro equipo aquí. Estamos disponibles las 24 horas, los 7 días de la semana, y será un gusto ayudarte.