Credenciales y secretos
Una credencial de Knot almacena un secreto (clave API, contraseña SMTP del socio, secreto de webhook) cifrado. El motor descifra solo durante una ejecución, sin mostrar el valor en los registros de cara al usuario.
🔐 Cifrado
- Algoritmo: AES-256-GCM.
- Clave maestra: variable de entorno o secreto del servidor (no en Git).
- No hay valores simples en
llx_knot_*expuestos a la interfaz de usuario.
🔐 Tipos comunes
| Tipo | Ejemplo |
|---|---|
| Proveedor de IA | OpenAI / clave antrópica |
| Portador HTTP | Token de API de SaaS |
| Autenticación básica | Usuario/contraseña del socio |
| Secreto del webhook | HMAC entrante |
Referencia credenciales por ID en nodos; .knot.json exportación excluye secretos.
🔐 Rotación
- Cree una nueva credencial con la clave nueva.
- Actualice cada nodo afectado.
- Simular, luego un control ejecución manual.
- Revocar la clave antigua en el proveedor.
- Elimine la antigua credencial de Knot.
Si se filtra un secreto de webhook, regenera la URL también si tu proceso lo requiere.
🔐 Mejores prácticas
- Mínimo privilegio en tokens API.
- No hay secretos en tickets, correos electrónicos o capturas de pantalla de documentos.
- Producción/puesta en escena separada (credenciales, instancias).
🔐 Registro de auditoría
Utilice registro de auditoría para:
- credencial crear/actualizar/eliminar;
- quién activó un flujo de trabajo usando un secreto;
- correlación con Error ejecuciones (sin filtrar el secreto en los mensajes).
Los registros de aplicaciones enmascaran encabezados confidenciales (SecretMasker en el producto).