Establece la confianza
Crea o importa tus CAs. Define qué identidad recibe cada dispositivo y protege las claves en el HSM o KMS que elijas.
↗ Preview Certificados post-cuánticos en acceso anticipado
PKI soberana, identidad confiable para cada dispositivo conectado
Lamassu es una PKI abierta para flotas IoT e industriales. Crea tus autoridades de certificación, da de alta dispositivos con EST y gestiona cada identidad X.509 —emisión, renovación y revocación— con las claves en el HSM o KMS que elijas.
- CAs, perfiles, CRL y OCSP
- Alta y renovación con EST
- Claves en HSM, AWS KMS, Azure o Vault
- SaaS, AWS o Kubernetes
Confianza, en cualquier lugar
Una misma infraestructura de identidad para tus dispositivos. En fábrica, en campo y durante toda su vida útil.
Root CAUna raíz de confianza
- CA de fábricaEmisión en producciónDispositivos · X.509
- CA de operaciónGestión en campoDispositivos · X.509
- CA de serviciosIntegración y serviciosDispositivos · X.509
Automatiza el ciclo de vida
Da de alta y renueva dispositivos con EST. Aplica políticas por flota y revoca una identidad cuando deje de ser de confianza.
↗Soberanía total
Tus claves, tus CAs y tus políticas. El despliegue decide dónde vive la confianza: SaaS, AWS o tu propio Kubernetes.
↗La confianza llega a la industria
Empresas que trabajan con Lamassu para proteger la identidad de sus dispositivos.
Material rodante y señalización.
Cómo funciona
Identidad de los dispositivos
Seguridad de dispositivos para trenes, estaciones y sistemas de vía con segmentación por línea, operador o región.
Operación conectada
Continuidad operativa en servicio 24x7.
Gestión del ciclo de vida
Los certificados de trenes, señalización y sistemas de estación pueden gestionarse con políticas comunes de emisión, renovación y revocación, adaptadas a cada dominio operativo.
Cadenas multi-sede de hostelería y restauración.
Cómo funciona
Identidad de los dispositivos
Control de identidad para hornos, kioscos, equipos de lavandería y lavavajillas industriales conectados a la nube.
Operación conectada
Onboarding seguro para dispositivos de local.
Gestión del ciclo de vida
Gestiona las identidades de los equipos de múltiples locales con políticas comunes para los certificados de dispositivos y servicios conectados.
BESS, inversores y gestión energética.
Cómo funciona
Identidad de los dispositivos
Identidad fuerte para controladores y gateways en plantas de almacenamiento y redes energéticas conectadas.
Operación conectada
Menor riesgo operativo en activos distribuidos.
Gestión del ciclo de vida
Define políticas de certificados para controladores, gateways y servicios de instalaciones energéticas distribuidas, y gestiona su ciclo de vida durante la operación.
Flotas industriales y operación remota.
Cómo funciona
Identidad de los dispositivos
Seguridad para telemetría, control y mantenimiento remoto en entornos logísticos, portuarios y de obra.
Operación conectada
Mayor control sobre activos con conectividad variable.
Gestión del ciclo de vida
Asigna identidades a controladores y módulos de telemetría para facilitar el mantenimiento remoto seguro de flotas industriales.
Control físico inteligente a escala.
Cómo funciona
Identidad de los dispositivos
Gestión de certificados para controladores, lectores y cerraduras en despliegues de edificios y campus.
Operación conectada
Revocación rápida y gobierno centralizado.
Gestión del ciclo de vida
Gestiona los certificados de lectores, controladores y cerraduras entre edificios mediante políticas centralizadas de ciclo de vida.
Respaldo
Impulsado por la industria y la administración pública
Lamassu cuenta con el apoyo de LKS Next y de los programas de innovación del Gobierno Vasco y del Gobierno de España.
Por qué elegir Lamassu
Menos piezas que conectar. Más control sobre cada identidad.
Gestionar herramientas
Procesos separados. Trabajo que se acumula.
Gestionar confianza
Todo el ciclo de vida, en una misma plataforma.
Detalles técnicos
| Scripts y hojas de cálculo | PKI corporativa tradicional | Lamassu | |
|---|---|---|---|
| Alta de dispositivos | Pasos manuales o scripts a medida por proyecto | Pensada para usuarios y servidores; pocos protocolos de dispositivo | Por estándar: EST, y CMP en acceso anticipado |
| Renovación | Recordatorios en el calendario; caídas cuando se olvida uno | A menudo manual o basada en agentes | Ventanas de renovación por flota; el dispositivo se re-enrola solo |
| Preparación post-cuántica | Sin abordar | En la hoja de ruta del proveedor | Certificados puros e híbridos en acceso anticipado |
| Protección de claves | Claves en disco, a menudo compartidas | HSM, con un coste considerable | HSM, AWS KMS, Azure Key Vault o Vault |
| Despliegue | Donde se ejecuten los scripts | On-premise, pesada de operar | SaaS, tu cuenta de AWS o Kubernetes |
| Dependencia | Atada a quien los escribió | Licencias y agentes propietarios | Código abierto, estándares abiertos, OpenAPI |
Una PKI. A tu manera.
Autoridades, dispositivos y claves. Todo conectado, desde una consola y una API.
Autoridades de certificación
Construye tu jerarquía desde la raíz o importa las CAs que ya operas. Los perfiles de emisión fijan validez, usos y algoritmos permitidos, y cada CA publica su estado de revocación.
-
Jerarquía y rotación
CAs raíz e intermedias, reemisión sobre la misma clave o rotación a una CA sucesora, con todo el linaje enlazado y visible como árbol o como grafo.
Jerarquía y rotación -
Perfiles de emisión
Plantillas para dispositivos IoT, servidores TLS o firma de código que fijan validez, usos de clave y qué algoritmos y tamaños se aceptan.
Perfiles de certificado -
CRL y OCSP
Cada CA publica su CRL y responde OCSP según la RFC 6960. Y desde el navegador puedes inspeccionar, validar y pasar zlint a cualquier certificado.
Validación de certificados
Autoridades de certificación
| Certification Authority | Status | Origin | Key | Expires | Expires vs. parent |
|---|---|---|---|---|---|
Lamassu Root CA2 sub-CAs CN=Lamassu Root CA, OU=Factory Floor, O=LamassuIoT, L=Arrasate, ST=Gipuzkoa, C=ES | ACTIVE | Managed | RSA (4096 bit) go1.27.3 | 07/11/2036 17:14 in almost 10 years | Self-signed · Root |
Factory Issuing CA1 sub-CA CN=Factory Issuing CA, OU=Factory Floor, O=LamassuIoT, L=Arrasate, ST=Gipuzkoa, C=ES | ACTIVE | Managed | ECDSA (384 bit) go1.27.3 | 09/11/2031 17:14 in almost 5 years | 5 years before parent |
Line 3 Devices CA CN=Line 3 Devices CA, OU=Factory Floor, O=LamassuIoT, L=Arrasate, ST=Gipuzkoa, C=ES | ACTIVE | Managed | ECDSA (256 bit) go1.27.3 | 09/11/2028 17:14 in almost 2 years | 3 years before parent |
Pilot Line CA CN=Pilot Line CA, OU=Factory Floor, O=LamassuIoT, L=Arrasate, ST=Gipuzkoa, C=ES | EXPIRED | Managed | ECDSA (256 bit) go1.27.3 | 02/09/2026 09:30 2 months ago | 10 years before parent |
Legacy OT CA CN=Legacy OT CA, OU=Factory Floor, O=LamassuIoT, L=Arrasate, ST=Gipuzkoa, C=ES | REVOKED | Imported | RSA (2048 bit) Imported | 14/05/2030 12:00 in almost 4 years | Self-signed · Root |
Identidad de dispositivos
Cada flota tiene su autoridad de registro (DMS): decide cómo se autentica un dispositivo, cómo se da de alta y cuándo debe renovar. Tus dispositivos hablan estándares abiertos, sin agentes propietarios.
- EST · RFC 7030 · Disponible
- CMP · RFC 9483 · Acceso anticipado
-
Alta con EST
Endpoints RFC 7030 por flota: /cacerts, /simpleenroll, /simplereenroll y /serverkeygen. Autenticación con certificado de fábrica, con webhook de autorización o con ambos.
Referencia EST -
Renovación por política
Ventanas de renovación y umbrales de aviso por flota: el dispositivo se re-enrola antes de caducar y tú ves en qué estado está cada uno.
Renovación y recuperación -
Grupos y estados
Grupos dinámicos por etiquetas y metadatos, historial de identidad y una línea temporal de eventos para cada dispositivo.
Eventos de dispositivos
DMS · factory-line-3 · /.well-known/est
| Hora | Operación | Dispositivo | Estado |
|---|---|---|---|
| 10:42:07 | /simpleenroll | plc-line3-0042 | Emitido |
| 10:41:55 | /simplereenroll | gw-north-17 | Renovado |
| 10:40:12 | /cacerts | hmi-panel-08 | Entregado |
| 10:38:40 | revoke | lock-b2-883 | Revocada |
| 10:37:02 | /simpleenroll | bms-rack-12 | Emitido |
| 10:35:19 | /serverkeygen | meter-ft-2207 | Emitido |
Custodia de claves
Las claves privadas de tus CAs viven donde lo exija tu política. Conecta varios motores a la vez y elige, CA a CA, el nivel de custodia.
-
Hardware y KMS cloud
HSMs vía PKCS#11, AWS KMS y Azure Key Vault Keys: la clave no necesita salir del módulo para firmar.
-
Control de acceso a las claves
Controla quién puede acceder y operar con tus claves. Integración vía API y cliente PKCS#11.
-
Trae tu propia clave
Importa claves existentes, genera CSRs a partir de claves del KMS y combina varios motores, incluso del mismo tipo.
Motores criptográficos
KMS · 5 motores configurados
| Motor | Conexión | Custodia |
|---|---|---|
| PKCS#11 HSMpkcs11-hsm-01 | PKCS#11 | Hardware |
| AWS KMSaws-kms-eu-west-1 | AWS API | KMS cloud |
| Azure Key Vault Keysazure-kv-prod | Azure API | KMS cloud |
| HashiCorp Vaultvault-kv-plant | KV v2 | Software |
| File systemfs-dev | Local | Software |
Elige dónde desplegar
El mismo producto. El control que necesita tu organización.
Servicio gestionado
Lamassu SaaS
Lo operamos nosotros, con copias de seguridad y actualizaciones incluidas. El camino más corto de la evaluación a producción.
- Operado por
- Nosotros, de principio a fin
En tu cuenta AWS
Lamassu en AWS
Una imagen de EC2 que lanzas en tu cuenta y región, junto a tus cargas de trabajo y bajo tu gobierno cloud.
- Amazon EC2
- t3.large o superior
- Operado por
- Tú, en tu cuenta de AWS
En tu Kubernetes
Autoalojado
Charts de Helm oficiales para tu clúster: en tu centro de datos, en una nube privada o en entornos desconectados con tu propio mirror.
- Kubernetes 1.24+
- Helm 3
- Operado por
- Tú, en tu infraestructura
En los tres modelos eliges dónde viven las claves de tus CAs: HSM vía PKCS#11, AWS KMS, Azure Key Vault, HashiCorp Vault o AWS Secrets Manager.
Motores criptográficos
Elige dónde viven las claves de tus CAs. Conecta varios motores y combina proveedores en una misma PKI.
- SL1 · Firma en software
- La clave se almacena en un gestor de secretos y Lamassu la recupera para firmar.
- SL2 · Firma en el proveedor
- La firma se realiza en el HSM o servicio de claves, sin recuperar la clave privada para cada firma.
HSM · PKCS#11
Genera y utiliza claves a través del módulo PKCS#11 de tu HSM. Los algoritmos disponibles dependen del dispositivo.
Security Level SL2 Firma en el módulo
AWS KMS
Genera claves RSA y ECDSA y firma mediante la API de KMS sin recuperar la clave privada.
Security Level SL2 Firma remota
AWS Secrets Manager
Genera o importa claves RSA y ECDSA, guárdalas como secretos y recupéralas para firmar en software.
Security Level SL1 Almacenamiento de claves
Azure Key Vault
Con Keys, genera claves RSA y ECDSA y firma en Key Vault. Con Secrets, almacena las claves y firma en software.
Security Level SL2 · Keys / SL1 · Secrets Keys y Secrets
HashiCorp Vault
Almacena claves RSA y ECDSA en el motor KV v2 de Vault. Lamassu recupera la clave para firmar en software.
Security Level SL1 Vault KV v2
Conecta tu PKI con la nube
Los eventos del ciclo de vida de los certificados mantienen conectadas tu PKI y las plataformas que utilizan tus dispositivos.
EMQX
El conector traslada los cambios de los certificados al broker MQTT de EMQX.
EmiteRenuevaRevoca
Conector específico
Actualización
AWS IoT Core
El conector traslada los cambios de los certificados a AWS IoT Core.
EmiteRenuevaRevoca
Conector específico
Actualización
Thing registrado y certificado adjuntoShadow: UPDATE_CERTIFICATECertificado REVOKED y sesión cerrada
Encaja en tu forma de trabajar
Estándares abiertos para desarrollo. Políticas comunes para seguridad. Visibilidad para operaciones.
Del primer certificado a toda tu flota
La misma base de confianza acompaña al dispositivo desde su alta hasta su revocación.
Explorar la consolaAbierta por diseño
Código abierto, estándares del IETF y una API REST documentada con OpenAPI. Ningún agente propietario en tus dispositivos.
Ver el códigoAcceso por políticas
Usuarios de tu proveedor OIDC o certificados X.509, políticas que deniegan por defecto y listados filtrados según quién pregunta.
Auditoría y alertas
Cada cambio en CAs, certificados, claves y dispositivos genera un evento con quién, qué y con qué resultado. Avisos por email, Microsoft Teams o webhook.
AWS IoT Core, integrado
Registra tus CAs en AWS IoT, crea Things y políticas al dar de alta y cierra la sesión MQTT de un dispositivo en cuanto se revoca.
Experimental · Acceso anticipado
La próxima era de confianza: PQC
Explora la criptografía post-cuántica con tus dispositivos reales. Prueba, mide y prepara tu migración.
Solicitar un piloto PQCClásico
RSA · ECDSA
Certificados RSA y ECDSA para todo lo que ya tienes en producción. Plenamente soportados.
Híbrido
RSA / ECDSA + ML-DSA
Un certificado, dos firmas —clásica y post-cuántica— unidas según el estándar emergente del IETF. Sigue siendo seguro mientras cualquiera de los dos algoritmos resista.
Post-cuántico puro
ML-DSA · SLH-DSA
Solo ML-DSA o SLH-DSA, tal y como los ha estandarizado el NIST. Para ecosistemas nuevos en los que controlas ambos extremos, y para demostrar que tu stack está preparado.
El soporte post-cuántico es experimental y se ofrece en acceso anticipado para pilotos. Sigue estándares del NIST y borradores del IETF que aún se están cerrando. Por ahora, las claves post-cuánticas se protegen por software, hasta que los fabricantes de HSM y KMS cloud soporten estos algoritmos.
Antes de empezar
¿No encuentras tu pregunta? Habla directamente con el equipo que construye Lamassu.
¿Tenemos que sustituir nuestra PKI actual?
No. Lamassu puede funcionar como PKI dedicada a dispositivos junto a tu PKI corporativa, o importar las autoridades de certificación que ya operas. La mayoría de las organizaciones empiezan con una línea de producto o una planta y crecen desde ahí.
¿Nuestros dispositivos necesitan un agente propietario?
No. Lamassu usa EST (RFC 7030), un protocolo abierto que soportan muchos dispositivos, gateways y sistemas operativos, y CMP está en acceso anticipado. La consola también genera los comandos de openssl y curl para probar un alta.
¿Los certificados post-cuánticos están listos para producción?
Todavía no, y lo decimos abiertamente. El soporte post-cuántico de Lamassu es experimental: implementa los estándares ML-DSA y SLH-DSA del NIST y certificados híbridos basados en un estándar del IETF que aún se está cerrando, con las claves protegidas por software por ahora. Se ofrece en acceso anticipado para que puedas probar, medir y planificar tu migración ahora, y pasar a producción a medida que maduren los estándares y los dispositivos.
¿Dónde se guardan nuestras claves privadas?
Donde lo exija tu política de seguridad: HSM vía PKCS#11, AWS KMS, Azure Key Vault, HashiCorp Vault, AWS Secrets Manager o un motor de ficheros para pruebas. Con HSM, AWS KMS o Azure Key Vault Keys, la clave de la CA no necesita salir del módulo para firmar.
¿Cuánto tardamos en empezar?
Con el SaaS o la imagen de AWS, un piloto puede estar emitiendo certificados en pocos días. La mayoría de los equipos empiezan con una autoridad de certificación, una flota y unos cuantos dispositivos dándose de alta por EST; a partir de ahí, escalar es cuestión de política, no de reingeniería.
¿Lamassu nos hace cumplir el CRA o NIS2?
Ningún producto lo hace por sí solo. Lamassu cubre requisitos técnicos clave —identidades únicas de dispositivo, comunicaciones protegidas, un ciclo de vida de credenciales gestionado y evidencias trazables— y te ayudamos a situarlo dentro de tus obligaciones concretas.
Tu primera flota empieza aquí
Diseña con nuestro equipo una PKI soberana para tus dispositivos, tu infraestructura y tu próxima etapa.
- Código abierto
- Estándares abiertos
- Sin agentes propietarios