# Bóveda de credenciales > Dónde guarda Ironchip las credenciales privilegiadas, quién puede verlas, cómo se rotan y cómo se recuperan en una emergencia con break-glass. URL: https://docs.ironchip.com/pam/conceptos/boveda/ Esta página explica qué es la bóveda de credenciales de Ironchip PAM: el repositorio centralizado y cifrado donde viven las credenciales privilegiadas de tu compañía, cómo se rotan y cómo se recuperan, de forma controlada y auditada, cuando hay una emergencia. Te sirve si administras el acceso privilegiado o si tienes que responder a una auditoría. ## Un único almacén cifrado Todas las credenciales que Ironchip PAM custodia están en el **almacén de secretos** de Ironchip, cifradas y separadas por compañía: cada compañía tiene su propio espacio y ninguna puede leer el de otra. La base de datos de la plataforma solo guarda la descripción de cada cosa (nombre, dirección, cuenta), nunca el secreto. | Qué guarda | Quién lo usa | Quién puede verlo | Dónde se gestiona | | --------------------------------------------------------- | ----------------------------------------------- | ---------------------------------------------------------------------- | --------------------------------------------------------------- | | Credenciales de los recursos | El broker, al abrir cada sesión | Nadie. Una contraseña gestionada solo sale con un checkout | [Recursos](https://docs.ironchip.com/pam/administracion/recursos/) | | Contraseñas que Ironchip gestiona y rota | El broker y, en un checkout, quien la saca | Nadie la ha visto nunca; un checkout o un break-glass la entrega | [Rotación de contraseñas](https://docs.ironchip.com/pam/boveda/rotacion/) | | Contraseñas del equipo | Personas (el router de una sede, un portal) | Su dueño y aquellos con quienes la comparte; cada revelado se anota | [Contraseñas del equipo](https://docs.ironchip.com/pam/boveda/contrasenas/) | | Secretos de aplicaciones y pipelines | Tus workloads, por la API compatible con Vault | Nadie en la consola: los valores se escriben y no se vuelven a mostrar | [Secretos para aplicaciones](https://docs.ironchip.com/pam/boveda/secretos/) | | Credenciales de AWS, Google Cloud y Azure | El almacén, para crear credenciales temporales | Nadie, después de cambiarlas desde la consola | [Credenciales temporales](https://docs.ironchip.com/pam/boveda/credenciales-temporales/) | | Cuenta del directorio (Active Directory, LDAP o Entra ID) | El almacén, para cambiar contraseñas de dominio | Nadie, después de cambiarla desde la consola | [Directorio](https://docs.ironchip.com/pam/administracion/directorio/) | La consola nunca te devuelve un secreto guardado: al editar un recurso, el campo de la contraseña aparece vacío y, si lo dejas así, se conserva la que hay. ## Rotación automática Cuando eliges **Managed by Ironchip** como método de un recurso, nadie teclea ni conoce su contraseña: Ironchip la genera en el almacén y la cambia sola. - **Según un calendario por recurso:** cada hora, cada 8 horas, cada día, cada semana o cada 30 días. - **Después de cada sesión**, en cuanto se cierra la última sesión abierta en esa cuenta. - **Al devolver un checkout**, para que la contraseña que se entregó deje de valer. - **Con la complejidad que elijas**, para toda la compañía o para un recurso concreto. El cambio lo hace quien puede hacerlo en cada tipo de recurso: la propia base de datos en PostgreSQL y MySQL, el agente de la máquina en las cuentas locales de Linux y Windows, y el directorio de la compañía en las cuentas de dominio. Asigna el calendario según la criticidad de cada recurso: por ejemplo, cada hora y tras cada sesión para los servidores de producción, y cada semana para los equipos de laboratorio. Consulta [Rotación de contraseñas](https://docs.ironchip.com/pam/boveda/rotacion/). ## Recuperación en emergencia (break-glass) Hay dos formas de que una persona obtenga la contraseña de una máquina, y las dos quedan registradas: - **Checkout**, dentro de una ventana de acceso aprobada. Ironchip pide antes los factores del acceso (por ejemplo, la confirmación en el móvil) y un motivo. - **Break-glass**, para una emergencia: los miembros de un grupo que eliges pueden sacar la contraseña de cualquier máquina gestionada sin la aprobación de nadie, durante un tiempo limitado y escribiendo el motivo. En los dos casos, mientras la contraseña está fuera nada la cambia, y en cuanto se devuelve o vence el plazo se rota, de modo que lo entregado deja de funcionar. **PAM > Checkouts** muestra quién la sacó, cuándo, de qué máquina, por qué y si ya se ha cambiado. Consulta [Checkouts y break-glass](https://docs.ironchip.com/pam/boveda/checkouts/). ## Frente a una bóveda tradicional | | Bóveda tradicional | Bóveda de Ironchip PAM | | ------------------------- | ------------------------------------------- | ---------------------------------------------------------------- | | Uso normal | Check-out de la contraseña para conectarse | El broker la pone al conectar; la persona no la ve | | Contraseña entregada | Válida hasta la siguiente rotación | Se rota en cuanto se devuelve o vence el checkout | | Emergencia | Cuenta de emergencia en un sobre o una caja | Break-glass con motivo, plazo, registro y rotación al terminar | | Secretos de aplicaciones | Otro producto | El mismo almacén, con una API compatible con Vault | | Robo del inicio de sesión | Acceso a la bóveda y a todo lo que custodia | El checkout pide los factores del acceso; sin ellos no sale nada | ## Más información - [Arquitectura](https://docs.ironchip.com/pam/conceptos/arquitectura/): dónde está el almacén y qué piezas lo usan. - [Grabación y auditoría](https://docs.ironchip.com/pam/conceptos/grabacion/): qué evidencia queda de cada acceso.