Credenziali e segreti
Una credenziale di Knot memorizza un segreto (chiave API, password SMTP del partner, segreto webhook) crittografato. Il motore esegue la decrittografia solo durante un’esecuzione, senza mostrare il valore nei log rivolti all’utente.
🔐 Crittografia
- Algoritmo: AES-256-GCM.
- Chiave principale: variabile di ambiente o segreto del server (non in Git).
- Nessun valore semplice in
llx_knot_*esposto all’interfaccia utente.
🔐 Tipi comuni
| Tipo | Esempio |
|---|---|
| Fornitore di intelligenza artificiale | OpenAI/chiave antropica |
| Portatore HTTP | Token API SaaS |
| Autenticazione di base | Utente/password partner |
| Segreto del webhook | HMAC in entrata |
Riferimento alle credenziali per ID nei nodi; .knot.json Esporta esclude i segreti.
🔐 Rotazione
- Crea una nuova credenziale con la nuova chiave.
- Aggiorna ciascun nodo interessato.
- Simula, quindi un controllo esecuzione manuale.
- Revoca la vecchia chiave presso il provider.
- Elimina la vecchia credenziale di Knot.
Se viene divulgato un segreto webhook, rigenerare anche l’URL se il processo lo richiede.
🔐 Migliori pratiche
- Privilegio minimo sui token API.
- Nessun segreto nei ticket, nelle E-mail o negli screenshot dei documenti.
- Produzione/staging separati (credenziali, istanze).
🔐 Registro di controllo
Utilizza il log di controllo per:
- credenziali crea/aggiorna/elimina;
- chi ha attivato un workflow utilizzando un segreto;
- correlazione con Failed runs (senza divulgare il segreto nei messaggi).
I registri dell’applicazione mascherano le intestazioni riservate (SecretMasker nel prodotto).