Cómo está construida Echidna, pieza por pieza.

La transparencia es parte del manifiesto: aquí están el mapa del servicio, el aislamiento entre cuentas, el ciclo de vida de los datos, el viaje de una pregunta, el plan de escalado y los límites que declaramos. Sin secretos industriales y sin jerga innecesaria.

Celda por cuenta

1 GB

Memoria por celda

20 a 25

Celdas por nodo de 32 GB

60 a 90 s

Aprovisionamiento

Resumen en una tabla

Todo el sistema cabe en una lectura: qué pieza existe, dónde vive, qué hace y qué no guarda. El resto de la página explica cada una.

Pieza	Dónde vive	Qué hace	Qué no guarda
Sitio público	Cloudflare (borde)	Páginas, formulario de contacto y estado	Nada de cuentas ni contenido
Acceso y cuentas	Servidor del producto	Autenticación, planes y cobros	Contenido de tus chats
Tu espacio (celda)	Servidor del producto, un contenedor por cuenta	Conversaciones, archivos y memoria	Es tu propio espacio
Router de inferencia	Servidor del producto	Reparto entre proveedores y cuota por usuario	Tus peticiones, tras la respuesta
Búsqueda web	Servidor de servicios	Consultas con fuentes, por red privada	Historial de consultas
Proveedores de modelos	Externos, con retención cero	Generan las respuestas	Datos, por contrato

1. El mapa del servicio

El sitio público vive en el borde de Cloudflare: páginas estáticas, formulario y comprobación de estado. El producto (tu cuenta, tu espacio y el motor) vive en servidores dedicados en Dallas. Los proveedores de modelos están detrás de un router de inferencia que reparte carga y aplica cuotas por usuario. La búsqueda web sale por una red privada hacia un servidor separado.

La separación no es decorativa: lo que conversa con internet vive en la máquina que no guarda cuentas; lo que guarda el estado de las personas no tiene puertos de más. Los detalles de esa decisión están en la nota «Dos servidores y un túnel», del blog.

FIG. 01 · MAPA DEL SERVICIO

2. Aislamiento: tu espacio y el de nadie más

Cada cuenta trabaja dentro de su propia celda: un contenedor con su sistema de archivos, sus procesos y su puerto interno. Ese puerto no se publica al mundo: solo existe en la dirección local del servidor, uno por celda. El servidor de acceso autentica a la persona y habla con la celda por ahí; ninguna otra cuenta tiene ruta de red hacia ella.

El aislamiento se sostiene con tres capas independientes: el puerto solo escucha en local; el servicio interno solo confía en el proxy local y en su propia puerta de red; y una regla de cortafuegos descarta el tráfico que sale de los contenedores hacia los puertos de gestión del servidor. Aunque una celda quedara comprometida, no alcanza la administración de la máquina.

Es aislamiento a nivel de contenedor, no de máquina virtual dedicada por persona: más fuerte que un proceso compartido y más débil que un servidor exclusivo. Lo declaramos tal cual en los límites, más abajo.

FIG. 02 · AISLAMIENTO ENTRE ESPACIOS

Ciclo de vida de una celda

Aprovisionamiento. Al crear la cuenta, la celda se prepara desde cero en 60 a 90 segundos y termina con una comprobación de salud; si falla, el espacio no se entrega.
Trabajo. Conversaciones, archivos y memoria viven dentro de la celda, con límite de 1 GB de memoria y cuota de uso por cuenta.
Suspensión. Tras unos 30 minutos sin uso, la celda se suspende para no consumir recursos; no se destruye ni se borra nada.
Despertar. Cuando vuelves, la celda despierta con su página de espera y todo queda donde estaba.
Purga. Los adjuntos sueltos salen a las 24 horas; el contenido que decides conservar vive hasta que tú lo borres o elimines la cuenta, con purga inmediata.

3. El ciclo de vida de tus datos

Regla de diseño: el contenido de lo que trabajas vive en tu celda y no entra a las bases de datos de la plataforma; lo operativo (cuenta, plan, salud) vive en la plataforma y no contiene conversaciones. Los adjuntos se purgan a las 24 horas; las conversaciones viven en tu espacio hasta que tú decidas; la cuenta y el plan se conservan para cobrar y facturar.

El inventario completo de datos, con tiempos y motivos, está en la nota «Privacidad por diseño» del blog y en la página de Privacidad.

FIG. 03 · CICLO DE VIDA DE LOS DATOS

4. El viaje de una pregunta

Siete pasos, descritos sin cajas negras: lo que entra, por dónde pasa y por dónde sale.

Escribes en el chat: la petición viaja cifrada hasta el servidor de acceso.
El servidor autentica tu sesión e inyecta tu identidad en la petición.
La petición llega a tu celda por su puerto local; ninguna otra cuenta puede llegar ahí.
Tu celda pide el modelo al router con tu clave privada y tu cuota.
El router elige proveedor disponible; todos operan con retención cero.
Si hace falta información de la web, la búsqueda sale por el túnel privado y vuelve con fuentes.
La respuesta se escribe en tu pantalla, letra a letra, y la narración cuenta lo que se hizo.

FIG. 04 · VIAJE DE UNA PREGUNTA

5. Escala: cómo crece esto

El escalado es por nodos, sin cambiar el diseño. Una celda consume del orden de 0,9 a 1,2 GB; un nodo de 32 GB sostiene 20 a 25 cuentas activas con margen. Cuando la demanda crece, se agrega un nodo y el plano de control asigna el siguiente aprovisionamiento al nodo nuevo: la persona no nota nada y ninguna cuenta comparte celda por comodidad.

La búsqueda se escala aparte porque es barata y cabe entera en una máquina pequeña; las celdas son las que piden memoria. Esa separación permite crecer en la pieza que hace falta sin tocar la otra.

6. Verificación

La arquitectura no se sostiene con buenas intenciones: cada aprovisionamiento termina en una comprobación de salud; las pruebas de la plataforma cubren provisión, suspensión, despertar y purga; la operación vigila el estado de cada celda desde afuera; y las mediciones públicas del servicio (con fecha y método) viven en Benchmarks y en Estado.

Límites declarados

Aislamiento de contenedor. Más fuerte que compartir proceso, más débil que una máquina dedicada por persona. Es el punto que elegimos conscientemente.
Una sola región. Hoy todo corre en Dallas; no prometemos despliegue multi-región ni latencias locales en otros continentes.
Instrumento propio. Nuestros números son internos y lo decimos; cuando existan comparativas independientes serias, se enlazarán con el mismo criterio.
La suspensión es una pausa. Después de un rato sin uso la celda se suspende; despertar tarda unos segundos y no se pierde nada.
Proveedores externos. La generación depende de terceros con retención cero; no auditamos su interior, elegimos por contrato y cambiamos cuando algo no cuadra.

Lo que no publicamos (y por qué)

Aquí está todo lo que hace falta para entender y confiar: el mapa, el aislamiento, el ciclo de datos, el viaje de tu pregunta y los límites. No publicamos direcciones internas, puertos, versiones ni configuraciones exactas, porque esa información ayuda a quien busca atacarnos, no a quien quiere entender. Es la misma razón por la que un banco te enseña las cámaras y no el plano de la bóveda.

Si te interesa el detalle de seguridad, sigue por Seguridad; si quieres las razones, por el Manifiesto. La discusión técnica de cada decisión vive en el blog de ingeniería.