Credenciales de los usuarios de servicio

Una credencial es lo que usa un usuario de servicio para demostrar su identidad, igual que una persona usa una contraseña. Cada credencial está formada por dos valores:

Valor	Ejemplo	Qué es
ID de cliente	`5f0c3a8e-2b7d-4e91-9a6c-1d2e3f4a5b6c`	El identificador público de la credencial (client ID). No es secreto: puede aparecer en registros y configuraciones.
Client secret	`kT9wQ2…` (32 caracteres)	La parte confidencial, como una contraseña. Quien lo tiene puede actuar como el usuario de servicio. Solo se muestra una vez.

La integración intercambia estos dos valores por un token de acceso de corta duración en el endpoint /oauth/token y después usa el token para llamar a la API de BreezeAuth.

Un usuario de servicio puede tener varias credenciales, por ejemplo una por entorno (producción, preproducción) o por instalación. Cada credencial puede desactivarse, puede caducar y se sigue por separado, lo que además permite la rotación sin interrupciones.

Crear una credencial

En la barra lateral, selecciona Usuarios, después la pestaña Usuarios de servicio, y abre el usuario de servicio.
Selecciona la pestaña Credenciales y después Nueva credencial.
Introduce un Nombre que indique dónde se usará la credencial, por ejemplo “Producción” o “Pipeline de CI”.
Opcionalmente, elige una fecha en Caduca el. Déjalo vacío para Sin vencimiento.
Selecciona Crear.
El cuadro de diálogo Credencial creada muestra el ID de cliente y el Client secret. Copia ambos y guárdalos de forma segura, y después confirma con Guardé el client secret.

Importante: el client secret se muestra una sola vez. BreezeAuth solo guarda una huella irreversible (un hash) del secret, así que nadie, ni siquiera el soporte de BreezeAuth, puede volver a mostrarlo. Si se pierde, crea una nueva credencial y desactiva la antigua.

Guardar el secret de forma segura

Proporciónaselo a la integración mediante un gestor de secretos o una variable de entorno protegida, nunca en el código fuente.
No lo pongas nunca en una página web, una aplicación móvil ni nada que se ejecute en los dispositivos de los usuarios: cualquiera podría extraerlo.
No lo envíes por correo electrónico ni por chat. Si ha quedado expuesto, desactiva la credencial y crea una nueva.

Seguir el uso de las credenciales

La pestaña Credenciales muestra cada credencial con su Estado (Activo o Inactivo), la fecha de Último uso, la fecha en que Caduca el y la fecha de creación. El Último uso indica cuándo se intercambió la credencial por un token de acceso por última vez, lo que ayuda a detectar credenciales que ya no se usan y pueden eliminarse.

Selecciona una credencial para ver sus detalles. Cada vez que se usa una credencial para obtener un token de acceso, también se crea una entrada en los Registros de auditoría.

Editar una credencial

Abre la credencial desde la pestaña Credenciales del usuario de servicio.
Selecciona Editar.
Cambia el Nombre, la fecha en Caduca el o la opción Activa y selecciona Guardar.

El ID de cliente y el client secret no se pueden cambiar. Para sustituir un secret, rota la credencial.

Desactivar una credencial

Desactiva una credencial cuando su secret pueda haber quedado expuesto, cuando se retire la integración que la usa o antes de eliminarla.

Abre la credencial y selecciona Editar.
Desmarca la opción Activa y selecciona Guardar.

La desactivación se aplica de inmediato:

la credencial ya no puede intercambiarse por tokens de acceso;
todos los tokens de acceso emitidos con ella dejan de funcionar en su siguiente petición a la API, aunque todavía no hayan caducado. BreezeAuth comprueba la credencial en cada petición, así que no existe ningún margen en el que un token obtenido antes siga siendo utilizable.

Las demás credenciales del mismo usuario de servicio siguen funcionando. Puedes reactivar la credencial más adelante marcando de nuevo Activa.

Caducidad

Una credencial con fecha en Caduca el se comporta como una credencial desactivada a partir de ese momento: no se emiten tokens nuevos y los emitidos antes se rechazan. Para ampliar el plazo, edita la credencial y elige una fecha posterior, o borra la fecha.

Rotar una credencial

Rotar consiste en sustituir una credencial por una nueva, por ejemplo de forma periódica o cuando alguien que conocía el secret deja la empresa. Como un usuario de servicio puede tener varias credenciales, puedes hacerlo sin interrumpir la integración:

Crea una nueva credencial para el mismo usuario de servicio.
Configura la integración con el nuevo ID de cliente y el nuevo client secret, y despliega el cambio.
Comprueba que el Último uso de la nueva credencial se actualiza y que el de la antigua deja de cambiar.
Desactiva la credencial antigua.
Cuando estés seguro de que ya nada depende de ella, elimínala.

Consejo: una fecha en Caduca el convierte la rotación en un hábito: la credencial deja de funcionar en una fecha conocida, así que puedes planificar la sustitución con antelación.

Eliminar una credencial

Una credencial debe desactivarse antes de poder eliminarse. Mientras esté activa, el botón Eliminar aparece deshabilitado con el mensaje “Debes desactivar la credencial primero”.

Desactiva la credencial.
Ábrela y selecciona Eliminar.
En el cuadro de diálogo Eliminar credencial, introduce tu contraseña actual para confirmar.

Eliminar una credencial no se puede deshacer. Desactívala primero, espera a confirmar que nada deja de funcionar y después elimínala.