Tokens de servicio
3 min de lectura
Los tokens de servicio permiten que un programa se autentique contra Kujira sin utilizar la cuenta de una persona. Úsalos para una integración propia, un pipeline de CI/CD, una automatización interna o un agente externo que trabaje con la API.
Cada token pertenece a una única organización y sus acciones quedan identificadas como realizadas por ese servicio en el registro de actividad.
Crear un token
Al crear un token, asigna un nombre que identifique su finalidad —por ejemplo, ci-despliegue o integracion-crm— y selecciona exclusivamente los permisos que necesita. El valor completo comienza por kjtk_live_.
Copia el secreto en ese momento
El secreto se muestra una sola vez. Kujira conserva únicamente una versión protegida para validarlo, por lo que no se puede recuperar después. Si se pierde o sospechas que se ha expuesto, crea otro y revoca el anterior.
Diseñarlo con el mínimo acceso
Un token no hereda el rol de quien lo usa: actúa únicamente con los permisos que le hayas concedido. Además, no puedes crear un token con permisos más amplios que los tuyos.
Permisos concretos
Concede solo las acciones necesarias, como consultar agentes o enviar una entrada a un agente concreto.
Caducidad
Define una fecha de expiración para accesos temporales. Si no la indicas, el token seguirá activo hasta que lo revoques.
Direcciones IP
Cuando el servicio opera desde direcciones conocidas, limita el token a esas IP para impedir su uso desde otra ubicación.
Un token por integración
No compartas un único token entre varios sistemas. Un token por integración, con un nombre y permisos propios, facilita revisarlo, rotarlo o revocarlo sin interrumpir los demás servicios.
Revisar, rotar y revocar
La lista muestra el nombre, los permisos, la caducidad y la última vez que se utilizó cada token. Revisa periódicamente los accesos que ya no tengan uso.
No es posible modificar el secreto de un token existente. Para rotarlo, crea uno nuevo, actualiza el servicio que lo utiliza y revoca el anterior cuando hayas confirmado que el cambio funciona. La revocación es inmediata.
Usarlo con un agente externo
Puedes entregar un token limitado a un agente de programación para que opere Kujira mediante la API. La instrucción de conexión disponible en esta documentación le permite cargar el contrato y el flujo de autenticación; el token, en cambio, debes crearlo y custodiarlo tú.
Consulta Usar la API para ver el formato de autenticación y el alcance de cada endpoint.
Permisos para gestionarlos
| Acción | Permiso |
|---|---|
| Consultar los tokens existentes | service_token.view |
| Crear un token | service_token.create |
| Revocar un token | service_token.delete |