Connexions et secrets

Les blocs qui communiquent avec des systèmes externes ne conservent jamais eux-mêmes d’adresses ni de mots de passe. Ils désignent une connexion : un courtier MQTT ou un point d’accès HTTP que vous configurez une fois et réutilisez. Les secrets des connexions sont stockés chiffrés, ne sont jamais réaffichés et n’apparaissent jamais dans un message, un journal, un enregistrement d’exécution ni un export.

Gérer les connexions

1. Ouvrez Automation, puis le menu de l’en-tête, et sélectionnez Connexions.
2. Sélectionnez Nouvelle connexion, choisissez le Type et sélectionnez Suivant.
3. Renseignez les champs, puis Enregistrer.
4. Sélectionnez Tester pour la vérifier.

Depuis les paramètres d’un bloc, Gérer les connexions ouvre la même liste filtrée sur les types que le bloc peut utiliser.

Colonne	Affiche
Nom, Type, Version	La connexion
Utilisée par	Les flux et blocs qui l’utilisent ; Aucun flux ne l’utilise. sinon
Avertissements	« TLS non vérifié », « Certificat expire dans n jours », « Certificat expiré »

Une connexion encore utilisée par un flux ne peut pas être supprimée : « Un flux l’utilise encore (n). Modifiez d’abord ces nœuds. »

Point d’accès HTTP

« Une URL de base avec son authentification, pour les nœuds de requête HTTP. »

Champ	Signification	Valeurs
base_url	L’adresse de base	http:// ou https://, obligatoire, jusqu’à 512 caractères, sans ?, # ni @
allowed_hosts	Hôtes qu’un bloc peut appeler	noms exacts ou caractères génériques d’un niveau (*.example.com) ; par défaut : l’hôte de l’URL de base
auth	Authentification	none, basic, bearer, header, oauth2_client_credentials, aws_sigv4 (requêtes signées pour le stockage cloud et les API de fonctions)
tls_verify	Vérifier le certificat du serveur	activé (par défaut)
CA personnalisée (PEM)	Faire confiance à ces CA au lieu des CA publiques	à privilégier plutôt que de désactiver la vérification
Certificat client (PEM), Clé client (PEM), Mot de passe de la clé client	Pour les serveurs qui demandent un certificat client (TLS mutuel)	la clé et le mot de passe sont des secrets

Champs d’authentification :

auth	Champs
basic	username, password (secret)
bearer	token (secret), envoyé comme Authorization: Bearer
header	header_name (lettres, chiffres, -, jusqu’à 64), header_value (secret)
oauth2_client_credentials	token_url (https, sur les hôtes autorisés), client_id, client_secret (secret), scope, client_auth (basic ou body : où vont l’identifiant et le secret)
aws_sigv4	access_key_id, secret_access_key (secret), session_token (secret, identifiants temporaires uniquement), region, service

• Identifiants client OAuth 2 : la plateforme obtient un jeton auprès de l’URL du jeton, le conserve jusqu’à une minute avant son expiration et l’envoie comme jeton bearer. Une réponse 401 de l’API supprime le jeton afin que l’appel suivant en obtienne un nouveau. Un client refusé échoue avec oauth_failed.
• Requêtes signées : chaque requête est signée avec la clé d’accès juste avant son envoi, de sorte que la signature couvre ce qui est réellement transmis. Utilisez un point d’accès par service et par région, avec une clé qui ne peut faire que ce dont le flux a besoin.
• Tester envoie une seule requête et répond : « Le serveur a répondu et accepté les identifiants. », « Les identifiants ont été refusés. », « L’adresse est privée ou non autorisée. », « Le certificat n’a pas pu être vérifié. », « Le serveur n’a pas répondu à temps. » et autres messages similaires.

Courtier MQTT

Champ	Signification	Par défaut	Valeurs
host	Le nom ou l’adresse du courtier	obligatoire	vérifié par le garde d’adresses à chaque connexion
port	Port	1883	1 à 65 535 (8883 est courant avec TLS)
tls	Utiliser TLS	désactivé	avec une CA personnalisée et un certificat client pour le TLS mutuel
tls_verify	Vérifier le certificat du courtier	activé
protocol	Version de MQTT	5	3.1.1, 5
client_id_mode	suffixed (une base plus un suffixe unique par connexion) ou fixed (exactement tel que donné)	suffixed
client_id	L’identifiant client, ou sa base	aucun	256 caractères ; obligatoire en mode fixed
username, password	Identifiants	aucun	le mot de passe est un secret
topic_prefix	Ce que ~/ représente dans un topic	aucun	256 caractères
keepalive_s	Keep-alive	60	1 à 65 535 s
connect_timeout_ms	Délai de connexion	10,000	1 000 à 60 000
clean_session	Démarrer chaque connexion avec une session vide	activé
session_expiry_s	MQTT 5, clean session désactivé : durée de conservation de la session par le courtier	300	1 à 86 400 s

• Utilisez fixed lorsque le courtier n’accepte qu’une seule connexion par identifiant client (certains courtiers cloud lient l’identifiant à une identité) : la plateforme conserve alors exactement une connexion pour l’organisation, le courtier et l’identifiant.
• Le QoS 2 nécessite clean session désactivé pour survivre à une connexion interrompue.
• Tester ouvre une seule connexion et indique : « Le courtier a accepté la connexion. », « Le courtier a refusé la connexion (code n). », « Les identifiants ont été refusés. » et autres messages similaires.

Serveur de base de données de séries temporelles externe

Une connexion pour le bloc qui écrit dans une base de données de séries temporelles externe : l’URL du serveur, les hôtes autorisés, la version de l’API de la base (v2 ou v1), puis une Organisation et un Jeton API (v2) ou un Nom d’utilisateur et un Mot de passe (v1), ainsi que tls_verify. Le jeton et le mot de passe sont des secrets. Ne la configurez que si vous utilisez ce bloc.

Règles d’adresses

• Les adresses privées, de boucle locale (loopback) et internes sont toujours refusées, à chaque tentative, après résolution du nom (ssrf_blocked, « L’adresse est privée ou non autorisée. »). Vos connexions doivent pointer vers des adresses publiques.
• Une requête HTTP ne va que vers le schéma, le port et les hôtes autorisés du point d’accès ; un chemin qui tente de sortir du chemin de base est refusé.
• Les redirections ne sont pas suivies.

Secrets

Règle	Détail
Écriture seule	Un secret enregistré affiche « Une valeur est enregistrée. Laissez vide pour la conserver. » Laissez le champ vide pour le conserver ; saisissez une nouvelle valeur pour la remplacer.
Chiffré	Stocké chiffré. Si la plateforme n’a pas de clé de chiffrement configurée, l’enregistrement d’un secret échoue (« Les secrets ne peuvent pas être stockés pour le moment… »).
Jamais copiés	Les secrets n’apparaissent jamais dans les messages, les enregistrements d’exécution, les journaux, le journal d’audit ni les exports. Les connexions d’un flux importé doivent être de nouveau renseignées avec leurs secrets.
Modifications simultanées	« Quelqu’un d’autre a modifié cette connexion depuis son ouverture. Vos modifications n’ont pas été enregistrées. » Ouvrez la dernière version et modifiez-la à nouveau.

Secrets des webhooks

Un déclencheur Webhook avec une authentification token ou hmac dispose d’un secret généré. Ouvrez la boîte de dialogue Webhooks de l’éditeur (elle apparaît une fois le flux déployé et activé) :

Élément	Signification
Adresse	L’URL à appeler, avec Copier
Auth	Jeton bearer, Requête signée ou Session authentifiée
Réponse	« répond 202 immédiatement », ou « répond avec la réponse du flux »
Exemple d’appel	Une requête prête à copier
Créer un nouveau secret	Un nouveau secret, affiché une seule fois. « L’ancien continue de fonctionner encore 24 heures, afin que les appelants puissent basculer. »
Révoquer maintenant l’ancien secret	Un nouveau secret, et l’ancien cesse immédiatement de fonctionner. À utiliser lorsque l’ancien secret a fuité.

Un webhook de session n’a pas de secret : l’appelant est un membre connecté de votre organisation qui détient la permission Appeler les webhooks d’authentification de session des flux déployés (et la permission supplémentaire du bloc, si elle est définie). Voir Blocs déclencheurs.