Los bloques que se comunican con sistemas externos nunca guardan direcciones ni contraseñas por sí mismos. Hacen referencia a una conexión: un broker MQTT o un endpoint HTTP que configuras una sola vez y reutilizas. Los secretos de las conexiones se almacenan cifrados, no se muestran de nuevo y nunca llegan a un mensaje, un registro, un registro de ejecución ni una exportación.
Gestionar conexiones
- Abre Automation, luego el menú de la cabecera y selecciona Connections.
- Selecciona New connection, elige el Type y selecciona Next.
- Rellena los campos y, después, selecciona Save.
- Selecciona Test para comprobarla.
Desde la configuración de un bloque, Manage connections abre la misma lista filtrada por los tipos que el bloque puede usar.
| Columna | Muestra |
|---|---|
| Name, Type, Version | La conexión |
| In use by | Los flujos y bloques que la usan; en caso contrario, No flow uses it. |
| Advertencias | «TLS not verified», «Certificate ends in n days», «Certificate expired» |
Una conexión que todavía usa un flujo no se puede eliminar: «A flow still uses it (n). Change those nodes first.»
Endpoint HTTP
«A base URL with its authentication, for HTTP request nodes.»
| Campo | Significado | Valores |
|---|---|---|
| base_url | La dirección base | http:// o https://, obligatoria, hasta 512 caracteres, sin ?, # ni @ |
| allowed_hosts | Hosts a los que puede llamar un bloque | nombres exactos o comodines de un nivel (*.example.com); por defecto: el host de la base URL |
| auth | Autenticación | none, basic, bearer, header, oauth2_client_credentials, aws_sigv4 (solicitudes firmadas para almacenamiento en la nube y APIs de funciones) |
| tls_verify | Comprobar el certificado del servidor | activado (por defecto) |
| CA personalizada (PEM) | Confiar en estas CA en lugar de las públicas | es preferible a desactivar la verificación |
| Client certificate (PEM), Client key (PEM), Client key password | Para servidores que piden un certificado de cliente (TLS mutuo) | la clave y la contraseña son secretos |
Campos de autenticación:
| auth | Campos |
|---|---|
| basic | username, password (secreto) |
| bearer | token (secreto), enviado como Authorization: Bearer |
| header | header_name (letras, dígitos, -, hasta 64), header_value (secreto) |
| oauth2_client_credentials | token_url (https, en los hosts permitidos), client_id, client_secret (secreto), scope, client_auth (basic o body: dónde van el id y el secreto) |
| aws_sigv4 | access_key_id, secret_access_key (secreto), session_token (secreto, solo credenciales temporales), region, service |
- OAuth 2 client credentials: la plataforma obtiene un token de la URL del token, lo conserva hasta un minuto antes de que caduque y lo envía como token bearer. Un
401de la API descarta el token para que la siguiente llamada obtenga uno nuevo. Un cliente rechazado falla conoauth_failed. - Solicitudes firmadas: cada solicitud se firma con la clave de acceso justo antes de salir, de modo que la firma cubre lo que realmente se envía. Usa un endpoint por servicio y región, con una clave que solo pueda hacer lo que necesita el flujo.
- Test envía una solicitud y responde: «The server answered and accepted the credentials.», «The credentials were rejected.», «The address is private or not allowed.», «The certificate could not be verified.», «The server did not answer in time.» y similares.
Broker MQTT
| Campo | Significado | Por defecto | Valores |
|---|---|---|---|
| host | El nombre o la dirección del broker | obligatorio | se comprueba con el filtro de direcciones en cada conexión |
| port | Puerto | 1883 | 1 a 65.535 (8883 es habitual con TLS) |
| tls | Usar TLS | desactivado | con una CA personalizada y un certificado de cliente para TLS mutuo |
| tls_verify | Comprobar el certificado del broker | activado | |
| protocol | Versión de MQTT | 5 | 3.1.1, 5 |
| client_id_mode | suffixed (una base más un sufijo único por conexión) o fixed (exactamente como se indica) | suffixed | |
| client_id | El client id, o su base | ninguno | 256 caracteres; obligatorio con fixed |
| username, password | Credenciales | ninguna | la contraseña es un secreto |
| topic_prefix | Lo que representa ~/ en un topic | ninguno | 256 caracteres |
| keepalive_s | Keep-alive | 60 | 1 a 65.535 s |
| connect_timeout_ms | Tiempo para conectar | 10,000 | 1.000 a 60.000 |
| clean_session | Iniciar cada conexión con una sesión vacía | activado | |
| session_expiry_s | MQTT 5, clean session desactivado: cuánto tiempo conserva el broker la sesión | 300 | 1 a 86.400 s |
- Usa
fixedcuando el broker solo acepta una conexión por client id (algunos brokers en la nube vinculan el id a una identidad): la plataforma mantiene entonces exactamente una conexión por organización, broker e id. - QoS 2 necesita clean session desactivado para sobrevivir a una conexión caída.
- Test abre una conexión y responde «The broker accepted the connection.», «The broker refused the connection (code n).», «The credentials were rejected.» y similares.
Servidor externo de base de datos de series temporales
Una conexión para el bloque que escribe en una base de datos externa de series temporales: la Server URL, los hosts permitidos, la versión de la API de la base de datos (v2 o v1), después una Organisation y un API token (v2) o un Username y una Password (v1), y tls_verify. El token y la contraseña son secretos. Configúrala solo si usas ese bloque.
Reglas de direcciones
- Las direcciones privadas, de loopback e internas siempre se rechazan, en cada intento, después de resolver el nombre (
ssrf_blocked, «The address is private or not allowed.»). Tus conexiones deben apuntar a direcciones públicas. - Una solicitud HTTP solo va al esquema, puerto y hosts permitidos del endpoint; una ruta que intente salir de la ruta base se rechaza.
- No se siguen las redirecciones.
Secretos
| Regla | Detalle |
|---|---|
| Solo escritura | Un secreto almacenado muestra «A value is stored. Leave empty to keep it.» Deja el campo vacío para conservarlo; escribe un valor nuevo para sustituirlo. |
| Cifrado | Se almacena cifrado. Si la plataforma no tiene configurada una clave de cifrado, guardar un secreto falla («Secrets cannot be stored right now…»). |
| Nunca se copian | Los secretos nunca llegan a mensajes, registros de ejecución, logs, al registro de auditoría ni a exportaciones. Los secretos de las conexiones de un flujo importado deben introducirse de nuevo. |
| Ediciones simultáneas | «Someone else changed this connection since you opened it. Your changes were not saved.» Abre la versión más reciente y vuelve a editar. |
Secretos de webhooks
Un disparador Webhook con autenticación token o hmac tiene un secreto generado. Abre el diálogo Webhooks del editor (aparece una vez que el flujo está desplegado y activado):
| Elemento | Significado |
|---|---|
| Dirección | La URL a llamar, con Copy |
| Auth | Bearer token, Signed request o Signed-in session |
| Respuesta | «answers 202 at once», o «answers with the flow’s reply» |
| Example call | Una solicitud lista para copiar |
| Make a new secret | Un secreto nuevo, mostrado una sola vez. «The old one keeps working for another 24 hours, so the callers can switch over.» |
| Revoke the old secret now | Un secreto nuevo, y el anterior deja de funcionar de inmediato. Úsalo cuando el secreto anterior se haya filtrado. |
Un webhook de sesión no tiene secreto: quien llama es un miembro con sesión iniciada de tu organización que tiene el permiso Call session-auth webhooks of deployed flows (y el permiso extra del bloque, si está configurado). Consulta Trigger blocks.