¿DynamoDB está cifrado?

Sí. Todos los datos de DynamoDB se cifran en reposo por defecto, usando claves de cifrado almacenadas en AWS Key Management Service (KMS), y el cifrado no se puede desactivar. Tú eliges el tipo de clave — una clave propiedad de AWS (la opción por defecto, gratuita), una clave administrada por AWS o una clave administrada por el cliente — y los datos en tránsito se protegen con HTTPS/TLS.

Qué cubre el cifrado en reposo

El cifrado se aplica a todo lo que una tabla cifrada almacena en medios duraderos: la tabla misma incluida su clave principal, los índices secundarios locales y globales, los streams, las tablas globales y las copias de seguridad. Ten en cuenta que si tu tabla tiene clave de ordenación, algunas de las claves de ordenación que marcan los límites de rango se guardan en texto plano en los metadatos de la tabla.

Las tres opciones de clave

Clave propiedad de AWS — la opción por defecto. Propiedad de DynamoDB y gestionada por él, sin coste adicional.
Clave administrada por AWS — almacenada en tu cuenta y gestionada por AWS KMS (se aplican cargos de KMS).
Clave administrada por el cliente — creada, poseída y rotada por ti, con control total sobre el acceso (se aplican cargos de KMS).

Puedes cambiar de tipo de clave en cualquier momento desde la consola, la CLI o la API.

Lo que cuesta de verdad ese «se aplican cargos de KMS»

AWS dice que el cargo existe y te deja a ti ponerle precio, así que la gente asume una tarifa por petición sobre una base de datos que hace millones de peticiones. No lo es. La documentación de cifrado es concreta: "DynamoDB doesn't call AWS KMS for every DynamoDB operation. The key is refreshed once every 5 minutes per caller with active traffic."

Eso se reduce a una aritmética que puedes comprobar. Un solo llamante con tráfico continuo refresca 12 veces por hora, así que a lo largo de un mes de 730 horas:

Peticiones: 12 × 730 = 8.760 llamadas a KMS, a 0,03 $ por cada 10.000 = 0,026 $.
La clave en sí: 1 $/mes por una clave administrada por el cliente, prorrateado por horas. Una clave administrada por AWS no lleva cuota mensual de clave, solo el cargo por peticiones.

Así que una clave administrada por el cliente sobre una tabla con mucho tráfico cuesta unos 1,03 $/mes, y la mitad de las peticiones apenas se mueve a medida que crece el tráfico. Cincuenta instancias de aplicación golpeando la misma tabla son 438.000 llamadas, o 1,31 $. Si DynamoDB hubiera llamado a KMS por operación, una tabla que sirviera 200 millones de peticiones al mes habría añadido 600 $.

Otra cosa que conviene presupuestar antes de elegir una clave administrada por el cliente: desactivarla o programar su eliminación deja la tabla en estado Inaccessible, y si DynamoDB no puede acceder a la clave durante más de siete días la tabla se archiva en una copia de seguridad bajo demanda que se te factura a partir de entonces.

Es transparente para tu aplicación

DynamoDB descifra los datos de forma transparente cuando los lees. No cambias nada de código para trabajar con una tabla cifrada, las consultas funcionan igual y la latencia se mantiene en el mismo rango de milisegundos de un solo dígito. Para protección de extremo a extremo de valores de atributo concretos antes de que salgan de tu aplicación, AWS ofrece además cifrado del lado del cliente mediante el AWS Database Encryption SDK.

Profundiza

Las copias de seguridad también están cifradas — mira cómo funcionan en la guía de copias de seguridad y PITR, estima los costes de tabla (KMS se factura aparte) con la calculadora de precios, y descarga DynoTable para explorar tus tablas cifradas — el descifrado lo hace AWS antes de que los datos lleguen a ningún cliente.

Referencias

Verificado por última vez el 2026-07-13 contra la documentación oficial de AWS enlazada arriba. El intervalo de refresco de KMS y los precios usados en la sección de costes se consultaron el 2026-07-28.