Credenciais e segredos
Uma credencial do Knot armazena um segredo (chave de API, senha SMTP do parceiro, segredo do webhook) criptografado. O mecanismo descriptografa apenas durante uma execução, sem mostrar o valor nos logs voltados ao usuário.
🔐 Criptografia
- Algoritmo: AES-256-GCM.
- Chave mestra: variável de ambiente ou segredo do servidor (não no Git).
- Nenhum valor simples em
llx_knot_*exposto à UI.
🔐 Tipos comuns
| Tipo | Exemplo |
|---|---|
| Provedor de IA | Chave OpenAI/Antrópica |
| Portador HTTP | Token de API SaaS |
| Autorização básica | Usuário/senha do parceiro |
| Segredo do webhook | HMAC de entrada |
Referência credenciais por ID em nós; .knot.json Exportar exclui segredos.
🔐 Rotação
- Crie uma nova credencial com a nova chave.
- Atualize cada nó afetado.
- Simular e, em seguida, um controle execução manual.
- Revogue a chave antiga no provedor.
- Exclua a antiga credencial do Knot.
Se um segredo do webhook vazar, gere novamente o URL também se o seu processo exigir.
🔐 Melhores práticas
- Menor privilégio em tokens de API.
- Sem segredos em tickets, e-mails ou capturas de tela de documentos.
- Produção/preparação separadas (credenciais, instâncias).
🔐 Registro de auditoria
Use log de auditoria para:
- credencial criar/atualizar/excluir;
- quem ativou um fluxo de trabalho usando um segredo;
- correlação com Failed runs (sem vazar o segredo nas mensagens).
Os logs do aplicativo mascaram cabeçalhos confidenciais (SecretMasker no produto).