s3-encryption-gateway
Proxy HTTP transparente para cifrado lado cliente en servicios compatibles con S3. Implementa defensa en profundidad protegiendo datos contra errores de IAM o compromisos de credenciales del proveedor.
Ficha actualizada 22 sept 2026, 15:20 · upstream 22 sept 2026, 11:46 · release s3-encryption-gateway-0.11.10
Qué es s3-encryption-gateway
Descripción editorial construida a partir del repositorio, su documentación y sus señales de mantenimiento.
El repositorio s3-encryption-gateway implementa un proxy HTTP transparente que cifra los datos antes de enviarlos a cualquier backend compatible con S3 (AWS, MinIO, etc.) y los descifra al recuperarlos. Su objetivo principal es mitigar riesgos derivados de configuraciones erróneas de IAM, políticas de bucket demasiado amplias o claves comprometidas en el nivel del proveedor. Al añadir una capa criptográfica en la puerta de enlace, un error de configuración no se traduce inmediatamente en una fuga de datos en texto plano.
- Proteger copias de seguridad automáticas de bases de datos (ej. CloudNativePG) escritas en S3 sin modificar el operador.
- Cifrar objetos de logs y métricas almacenados en backends como Loki o Thanos para cumplir normativas.
- Garantizar que los artefactos de CI/CD y paquetes en repositorios GitLab o Harbor estén cifrados lado cliente.
- Proteger datos analíticos en plataformas como Spark, Trino o Delta Lake antes de su persistencia en almacenamiento objeto.
- Implementar cifrado para archivos compartidos en Nextcloud u ownCloud sin cambiar la aplicación base.
- Arquitectura transparente: los clientes S3 existentes funcionan sin cambios de código, solo apuntando al endpoint del proxy.
- Rendimiento optimizado con Envelope Encryption (AES-256-GCM), hasta 76 veces más rápido que derivados de contraseñas para subidas únicas.
- Soporte nativo para FIPS-140 mediante compilación con tags específicos y algoritmos aprobados como AES-256-GCM.
- Políticas granulares por bucket: permite definir comportamientos de cifrado distintos (ej. claves por inquilino o buckets sin cifrar).
- Soporte para subidas multipartitas cifradas end-to-end con IVs determinísticos para cada fragmento.
- Gestión flexible de claves vía KeyManager externo (Cosmian KMIP, HSM) o variables de entorno simples.
- No incluye Docker Compose; requiere configuración manual del contenedor y red.
- Complejidad alta: gestión de claves y políticas requiere conocimientos avanzados de criptografía y S3 IAM.
- Modo derivado de contraseña (legacy) deriva claves en cada petición, afectando el rendimiento en alto volumen.
- No soporta despliegue one-click; requiere integración manual con la infraestructura existente.
- Dependencia del backend: requiere un servicio S3 compatible funcional detrás del proxy.
Perfil de infraestructura
Estimación inicial derivada del repositorio y de los servicios detectados.
Despliegue detectado
Qué señales reales de instalación hemos encontrado.
Recomendado usar Envelope Encryption con KeyManager externo (Cosmian KMIP o HSM) para producción. Compilar con -tags=fips si se requiere cumplimiento normativo estricto. Configurar políticas de bucket explícitas para evitar acceso no autorizado a claves. Asegurar que el backend S3 tenga IAM restringido, ya que el proxy es la segunda línea de defensa.
Stack y dependencias
Componentes inferidos a partir de manifests, configuración y documentación.
Puede sustituir a
Relaciones detectadas por el análisis del repositorio y su categoría.
Experiencia real de la comunidad
Ayuda a contrastar la estimación automática con instalaciones reales.
Todavía no hay datos comunitarios para este proyecto.