Gestión autoalojada de dispositivos móviles

Soberanía sobre cada dispositivo, que entregas.

ShadowZ MDM gestiona tu flota de Android en tu servidor, bajo tu nombre de dominio, sin que ningún proveedor lea por en medio. Incluye endurecimiento activo contra capturadores IMSI y rastreo por UWB y NFC.

Obtener una licencia Ver funciones

Paga una sola vez. Gestiónalo tú mismo. Sin cuotas recurrentes.

panel.tu-dominio.com
42 dispositivos
Pixel 8, Investigación
active
Pixel 7a, Trabajo de campo
active
Pixel 8, Bufete de abogados
locked
Pixel 7, Reserva
active

El problema

Quien controla tu MDM controla tu flota.

Los MDM en la nube leen por en medio

Hexnode, Scalefusion, Intune, JumpCloud. Todos se ejecutan en la nube del proveedor. Cada configuración, cada comando, cada registro de ubicación pasa por sus servidores. Estás confiando el acceso a tus dispositivos a un segundo proveedor.

Modelo de suscripción con dependencia

De 50 a 80 euros por dispositivo al año. Con 30 dispositivos durante 5 años eso se convierte rápidamente en 10.000 euros en software de gestión. Cancelar significa migrar bajo presión de tiempo y volver a inscribir cada dispositivo.

Rastreo de serie

Las soluciones estándar no bloquean ni el descenso a 2G (capturador IMSI), ni el rastreo por UWB, ni la lectura pasiva de NFC. Quien elige GrapheneOS para evitar el rastreo recibe vigilancia por la puerta de atrás de los MDM en la nube.

La solución

Tres propiedades que ningún MDM en la nube puede ofrecerte.

01

Soberanía de los datos

El servidor se ejecuta en tu hardware, bajo tu nombre de dominio, con tu certificado TLS. Postgres, Redis, el núcleo del MDM. Tres contenedores Docker. Nadie más que tú tiene acceso a la base de datos con las configuraciones, los dispositivos inscritos y los registros de auditoría.

02

Endurecimiento contra la vigilancia

Activable por configuración: bloqueo de 2G contra capturadores IMSI, radios UWB y NFC totalmente apagadas, malla Thread bloqueada, intercambio de contactos por Bluetooth desactivado, servicio de ubicación apagado de forma estricta. Además, endurecimiento de la pantalla de bloqueo, borrado automático tras intentos fallidos y bloqueo de instalación de aplicaciones.

03

Licencia vitalicia

Compra una vez. Actualizaciones incluidas. Sin límite de dispositivos en el nivel Vitalicio. Si mañana el mundo apaga el servidor de licencias, tu MDM sigue funcionando porque el token se valida sin conexión. Sin interruptor de apagado.

Funciones

Cuatro áreas temáticas, sin relleno de marketing.

Cada entrada corresponde a una función concreta del producto. Si echas algo en falta, pregúntanos antes de comprar.

01

Antirrastreo

  • Bloquea la red móvil 2G (protección contra capturadores IMSI, Android 14+)
  • Desactiva la radio UWB (rastreo tipo FindMy, Android 14+)
  • Radio NFC apagada (rastreo pasivo de etiquetas, Android 14+)
  • Bloquea la red en malla Thread (Android 15+)
  • Intercambio de contactos por Bluetooth desactivado
  • Desactiva el servicio de ubicación en todo el sistema
  • Bloquea el cambio a modo avión (relevante a nivel forense)
02

Control

  • Modo kiosco: solo una aplicación visible
  • Lista blanca de aplicaciones: Obligatorias y Permitidas por configuración
  • Perfiles de configuración, asignados a un grupo o a un dispositivo
  • Bloqueo, reinicio y borrado remotos (con confirmación)
  • Política de contraseñas en cinco niveles, desde PIN hasta 12+ alfanumérica
  • Forzar el cambio de contraseña en el próximo desbloqueo
  • Gestiona los fondos de pantalla de forma centralizada
03

Observabilidad

  • Latido en vivo cada 30 segundos, en línea o fuera de línea en el panel
  • Informes de fallos subidos automáticamente, traza de pila y cola de logcat
  • Capturas de registros bajo demanda, de 2 a 5 segundos de ida y vuelta
  • Registro de auditoría de todas las acciones de administración, activador BEFORE contra la manipulación
  • Registro de red y de seguridad activable de forma opcional
  • Mensaje de soporte en la pantalla de bloqueo: aviso del propietario en cada dispositivo
04

Seguridad

  • mTLS entre el agente y el servidor, con tu propia CA interna
  • Row Level Security de Postgres, cierre seguro ante un filtro de inquilino olvidado
  • 2FA TOTP para el inicio de sesión de administración con códigos de recuperación
  • Protección CSRF, HSTS, Content Security Policy
  • Copias de seguridad cifradas con AES-256-GCM mediante gpg, 600k iteraciones PBKDF2
  • Clave de la CA en disco cifrada con una frase de contraseña
  • Cifrado en reposo del JWT de licencia

En preparación

El ShadowZ Phone.

Un Pixel 9a preconfigurado basado en GrapheneOS, entregado con el estado DeviceOwner activo y el agente de ShadowZ MDM ya inscrito. Desempaquétalo, escanea el código QR de la licencia, listo.

  • Endurecido con GrapheneOS, Verified Boot activo, bootloader bloqueado
  • Funciona exclusivamente con ShadowZ MDM. Sin compatibilidad con MDM en la nube.
  • Política antirrastreo de fábrica: 2G bloqueado, UWB y NFC apagados, interruptor de sensores preconfigurado
  • Hardware del Pixel 9a con chip de seguridad Titan M2
Nota: El ShadowZ Phone requiere una instancia activa de ShadowZ MDM. Ambos productos se compran por separado. El plan Vitalicio del MDM no incluye el hardware del teléfono.
Más sobre el ShadowZ Phone
ShadowZ Phone: asistente de configuración basado en GrapheneOS, primer paso con la marca ShadowZ
Agente MDM
inscrito ✓

Precios

Una licencia para toda tu flota.

Todos los precios incluyen IVA. Pago por transferencia bancaria o Bitcoin. Activación normalmente en 24 horas.

Mensual

€199 al mes

Para evaluaciones e implementaciones más cortas.

  • Hasta 50 dispositivos
  • Todas las funciones
  • Soporte por correo electrónico
  • Cancela en cualquier momento
Empezar mensual

Anual

€999 al año

Para instalaciones consolidadas con un número fijo de dispositivos.

  • Hasta 500 dispositivos
  • Todas las funciones
  • Soporte prioritario
  • Compromiso de 12 meses
Comprar anual
Recomendado

Vitalicio

€2.999 pago único

Para operaciones que ejecutan el MDM de forma permanente en su propia infraestructura.

  • Dispositivos ilimitados
  • Todas las funciones, todas las actualizaciones futuras
  • Canal de soporte directo
  • Sin suscripción, sin renovación automática, sin interruptor de apagado
Asegurar Vitalicio

Para licencias empresariales con más de 1000 dispositivos o instalaciones on-premise con air gap, contáctanos directamente: sales@shadowz.live.

Datos técnicos

En tu servidor, tu infraestructura, tus reglas.

Infraestructura del servidor
Docker Compose. Postgres 16, Redis 7, binario de Go, Caddy o nginx como frontend TLS.
Hardware mínimo
4 GB de RAM, 2 vCPU, 20 GB de disco. Suficiente para varios cientos de dispositivos.
Dominio y TLS
Tu propio nombre de host. Let's Encrypt mediante Caddy de forma automática, o tu propio certificado.
Base de datos
Postgres con Row Level Security. Copias de seguridad cifradas mediante la herramienta integrada (gpg, AES-256-GCM).
Autenticación
JWT con token de acceso y de actualización, 2FA TOTP para administradores, mTLS entre el agente y el servidor.
Modelo de actualización
Descarga de imagen Docker. Sin actualización automática, tú decides cuándo.
Compatibilidad del SO
De Android 9 a Android 16. Conjunto completo de funciones solo como DeviceOwner. GrapheneOS recomendado.
Idiomas
Inglés, alemán, francés, español, italiano, portugués.
Modelo de licencia
JWT firmado de license.shadowz.live, validado sin conexión. Si el servidor de licencias falla, tu MDM sigue funcionando.
Código fuente
Propietario. Documentación completa de la arquitectura bajo petición. Derecho de auditoría para los clientes Vitalicio.

El ecosistema ShadowZ

Tres productos, un solo sistema.

Mensajería segura, un teléfono protegido y la gestión que los une. Elige uno o ejecuta los tres como un conjunto integrado.

App

ShadowZ Messenger

Mensajería cifrada de extremo a extremo sin número de teléfono, sin cuenta y sin rastro de metadatos.

Abrir el mensajero

Teléfono

ShadowZ Phone

Un Pixel 9a con GrapheneOS endurecido y el agente MDM inscrito de fábrica.

Ver el teléfono

MDM

ShadowZ MDM

Gestión de dispositivos autoalojada. Tu flota, tu servidor, sin terceros de por medio.

Estás aquí

Secure · Private · Yours

Preguntas habituales

Lo que más nos preguntan.

¿En qué servidores se ejecuta el MDM?
En los tuyos. Lo instalas con un script de shell en un VPS, una máquina dedicada o en tu propio centro de datos. Recomendamos Hetzner, OVH, un servidor root de Strato o una máquina en tu propio rack. Se admiten ARM y x86_64.
¿Cumple con el RGPD?
Tú eres el responsable del tratamiento de los datos, tú decides dónde están tus servidores y cómo los proteges. Nosotros entregamos la herramienta. El software almacena registros de auditoría, informes de fallos y configuraciones exclusivamente en tu servidor. No se nos envía ningún dato de telemetría.
¿Qué relación tiene con HeadwindMDM?
HeadwindMDM es una solución MDM de código abierto más antigua. ShadowZ MDM es un producto comercial centrado en funciones actuales contra la vigilancia (restricciones de la cuarta oleada como el bloqueo de 2G, UWB apagado, NFC apagado), una infraestructura técnica moderna (Go, Next.js, Postgres con RLS), seis idiomas y soporte comercial.
¿Qué pasa si dejáis de operar?
El token de licencia se valida sin conexión y es válido durante 60 días por ciclo. Si el servidor de licencias permanece inaccesible más tiempo, el MDM sigue funcionando en modo de solo lectura, se pueden inscribir nuevos dispositivos y los existentes funcionan sin cambios. En caso de emergencia publicamos una guía para desactivar la licencia, de modo que puedas ejecutar el producto sin nosotros.
¿Recibo el código fuente?
Las licencias estándar no reciben el código fuente. Los clientes Vitalicio tienen derecho de auditoría: tras firmar un contrato con un acuerdo de confidencialidad reciben acceso de solo lectura al repositorio para auditorías de seguridad. No tenemos previsto liberar el código.
¿Escala a miles de dispositivos?
La base de datos es Postgres con Row Level Security. El latido es cada 30 segundos, el servidor mantiene conexiones WebSocket abiertas para cada dispositivo en línea. En una máquina de 8 vCPU con 16 GB de RAM hemos probado hasta 5000 dispositivos. Para flotas mayores, contáctanos para una evaluación de la arquitectura.
¿Qué versiones de Android son compatibles?
De Android 9 a Android 16. Las funciones antirrastreo necesitan Android 14 (2G, UWB, NFC) o Android 15 (Thread). En versiones más antiguas estos interruptores se desactivan, el resto funciona. GrapheneOS es especialmente recomendable porque allí el endurecimiento trabaja con el MDM en lugar de contra él.
¿Puedo migrar desde otro MDM?
Sí, pero es un proceso manual. Cada dispositivo debe volver a inscribirse porque el estado DeviceOwner no es transferible entre MDM. Damos soporte a la migración de la configuración mediante un script para Hexnode, Scalefusion y HeadwindMDM. Para flotas mayores acompañamos la migración.

¿Sigues teniendo una pregunta? Escribe a hello@shadowz.live .