¿DynamoDB está cifrado?

Sí. Todos los datos de DynamoDB se cifran en reposo por defecto, usando claves de cifrado almacenadas en AWS Key Management Service (KMS), y el cifrado no se puede desactivar. Eliges el tipo de clave —una clave propiedad de AWS (la predeterminada, gratuita), una clave gestionada por AWS o una clave gestionada por el cliente— y los datos en tránsito se protegen con HTTPS/TLS.

Qué cubre el cifrado en reposo

El cifrado se aplica a todo lo que una tabla cifrada almacena en medios duraderos: la propia tabla, incluida su clave primaria, los índices secundarios locales y globales, los streams, las tablas globales y las copias de seguridad. Ten en cuenta que si tu tabla tiene una clave de ordenación, algunas de las claves de ordenación que marcan los límites de rango se almacenan en texto plano en los metadatos de la tabla.

Las tres opciones de clave

Clave propiedad de AWS — la predeterminada. Propiedad de DynamoDB y gestionada por él, sin coste adicional.
Clave gestionada por AWS — almacenada en tu cuenta y gestionada por AWS KMS (se aplican cargos de KMS).
Clave gestionada por el cliente — creada, poseída y rotada por ti, con control total sobre el acceso (se aplican cargos de KMS).

Puedes cambiar entre tipos de clave en cualquier momento desde la consola, la CLI o la API.

Es transparente para tu aplicación

DynamoDB descifra los datos de forma transparente cuando los lees. No cambias ningún código para trabajar con una tabla cifrada, las consultas funcionan sin cambios y la latencia se mantiene en el mismo rango de milisegundos de un solo dígito. Para la protección de extremo a extremo de valores de atributo individuales antes de que salgan de tu aplicación, AWS también ofrece cifrado del lado del cliente mediante el AWS Database Encryption SDK.

Profundiza más

Las copias de seguridad también están cifradas —consulta cómo funcionan en la guía de copias de seguridad y PITR, estima los costes de tabla (KMS se factura por separado) con la calculadora de precios, y descarga DynoTable para explorar tus tablas cifradas —el descifrado lo gestiona AWS antes de que los datos lleguen a cualquier cliente—.

Referencias

Verificado por última vez el 2026-07-13 contra la documentación oficial de AWS enlazada arriba.