Seguridad

Autonomy inicia sesión en tu producto, recibe sus correos y mensajes de texto y registra lo que ve. Esta página explica qué se guarda, quién puede verlo y qué puede salir de Autonomy.

Secretos

Las contraseñas, los tokens, las claves, los secretos de autenticador y las sesiones de navegador guardadas son secretos. Los guardas como valores del entorno secretos, en inicios de sesión o como valores ocultos en un paso.

• De solo escritura. Nadie puede volver a ver un secreto después de guardarlo, ni siquiera tú. Para cambiarlo, escribe un valor nuevo.
• Se rellenan por referencia. El agente nunca ve el valor de un secreto. Lo pide por su nombre y Autonomy lo rellena en el campo. Los códigos de autenticador se generan en el momento de escribirlos.
• Nunca en la evidencia. Un secreto guardado se enmascara dondequiera que aparezca: Step Actions, capturas, vídeo, detalles de red, registros y correos, también cuando está codificado para URL o escapado. Aparece con un candado: "Filled by reference. The agent never sees this value."
• Solo los reciben las ejecuciones. Los secretos se leen cuando un runner toma una ejecución, y solo para esa ejecución.
• Solo los propietarios y administradores pueden reemplazar el secreto guardado de un inicio de sesión o cambiar sus entornos.

No pongas contraseñas reales en el texto de los pasos, en las descripciones ni en los comentarios de las pull requests. Cuando describes un caso de prueba, Autonomy rechaza una descripción que contenga una contraseña y te pide que elijas un inicio de sesión guardado.

Lo que una ejecución crea o recibe

Todo lo que una ejecución crea o recibe se muestra en claro a las personas que pueden abrir la ejecución: códigos y enlaces recibidos, contraseñas generadas, bandejas de entrada de prueba, tokens en URL, cuerpos de petición y respuesta, cookies y la salida de la consola. Solo se enmascaran los valores que guardaste como secretos. Trata la evidencia de una ejecución como el entorno de prueba del que procede.

Mientras grabas un caso de prueba en un navegador alojado, ves los códigos que recibe tu sesión. Los demás miembros solo ven que llegó un código, y los códigos nunca se guardan en la grabación ni en el caso de prueba.

La bandeja de entrada de una ejecución se cierra cuando la ejecución termina. Su dirección queda reservada para tu organización, así que nadie más puede recibir su correo.

Acceso a los proyectos

Los propietarios y administradores de tu organización pueden abrir todos los proyectos. Los miembros solo pueden abrir los proyectos que les asigne un administrador en Organization → Members. Todo lo que hay dentro de un proyecto (sus casos de prueba, ejecuciones, evidencia, inicios de sesión e incidencias) solo es visible para las personas que pueden abrir el proyecto.

Al eliminar a un miembro, pierde el acceso a la organización y a todos sus proyectos.

Claves de API

Los propietarios y administradores crean claves de API en Organization → API keys, para CI y scripts. Una clave:

• Llega a todos los proyectos de la organización y puede hacer todo lo que ofrece la API: leer resultados, iniciar ejecuciones y crear y editar casos de prueba, planes de pruebas, entornos e incidencias.
• Se muestra una sola vez al crearla. Cópiala en ese momento y guárdala como secreto en tu CI.
• Está limitada a 1000 solicitudes por hora.
• Deja de funcionar al instante cuando la revocas.

Da a cada sistema su propia clave, para poder revocar una sin romper las demás. Consulta Autenticación.

Asistentes de IA (MCP)

Los asistentes de IA se conectan a Autonomy con OAuth. Inicias sesión, eliges una organización y apruebas lo que puede hacer el asistente, como "Start runs" o "Create and edit test cases".

• Una organización por conexión. Para llegar a otra organización, vuelve a conectarte.
• Actúa como tú. El asistente de un miembro solo llega a los proyectos que ese miembro puede abrir.
• Las claves de API no funcionan en MCP. Los asistentes siempre se conectan como una persona.

Conecta solo herramientas de confianza. Consulta Asistentes de IA.

Qué sale de Autonomy

La evidencia de las ejecuciones sale de Autonomy a través de la API, MCP y las exportaciones, como las herramientas de observabilidad. Todas usan el mismo conjunto limitado de evidencia para cada paso:

• El resultado esperado del paso, su resultado y la explicación.
• La categoría del fallo, si la hay, y el Final check: si coincidió y por qué.
• La plataforma y cuánto tardó el paso.
• Enlaces a capturas, fotogramas y al vídeo. Cada enlace caduca a los 15 minutos.

También están disponibles las Step Actions, con los secretos guardados enmascarados. Lo que nunca sale de Autonomy:

• Qué modelo de IA o proveedor de modelos trabajó en una ejecución.
• Cuánto costó una ejecución en uso de modelos.
• Los prompts que recibió el agente.
• Los nombres de las herramientas internas.
• Los árboles de interfaz sin procesar, como el código fuente de la página o los árboles de accesibilidad.
• Los valores que guardaste como secretos.

Sesiones del dashboard

Un inicio de sesión en el dashboard dura 30 días y se renueva mientras lo sigas usando. Un problema breve de red o del servidor no cierra tu sesión: el dashboard sigue reintentando y, al cabo de un minuto, muestra "Still connecting… Sign in again". Si cerrar la sesión falla, ves "Couldn't sign out. Try again." y sigues con la sesión iniciada, así que un cierre de sesión fallido nunca parece uno correcto.

Extensión de Chrome

La extensión de Chrome de Autonomy usa tu sesión del panel; no hay nada que emparejar. No puede leer ningún sitio hasta que se lo permitas, de uno en uno:

• Guardar una sesión. Cuando haces clic en Save login, Chrome pide permiso para leer ese sitio concreto. Ves What we keep, las cookies y los valores que se guardarán, antes de que se envíe nada. Los sitios de los proveedores de inicio de sesión, como tu SSO, quedan fuera salvo que los marques. La sesión se guarda como secreto y la extensión no guarda nada en tu ordenador.
• Grabar un caso de prueba. La extensión solo graba en el sitio que permitiste al empezar, y solo hasta que terminas.

Solo tú puedes renovar una sesión que guardaste. Consulta Extensión de Chrome.

Dónde se realizan las ejecuciones

Las ejecuciones se realizan en los runners de Autonomy, cada una con un navegador, una instalación de la app o un cliente HTTP nuevos, y todas empiezan sin sesión iniciada. Un runner necesita llegar a la URL o a la compilación de tu entorno. En Enterprise, las ejecuciones también pueden realizarse en tus propias máquinas, dentro de tu red. Consulta Runners.

Cuando una ejecución apunta a un entorno llamado Production, el agente se comporta como un usuario prudente: no gasta dinero real ni elimina datos existentes salvo que un paso lo pida.