Cuentas de servicio

Una identidad para el software —una integración, una exportación programada, el servicio de soporte— que desempeña funciones como una persona, nunca inicia sesión en la consola y nunca se le pide un segundo paso.

El inicio de sesión en dos pasos es adecuado para cualquier persona, pero inadecuado para cualquier script: un programa que inicia sesión con contraseña debe ingresar un código que no puede escribir. En su lugar, el software utiliza una cuenta de servicio. Esta cuenta gestiona roles y empresas exactamente igual que una persona, por lo que se aplican todas las asignaciones de pantalla, restricciones de unidad organizativa y reglas de funciones; sin embargo, no tiene una contraseña conocida, el formulario de inicio de sesión la rechaza y no puede usar las partes personales o interactivas de la consola (preferencias, personalización, panel de control, asistente, configuración en dos pasos, consola del sistema).

1. Plataforma abierta → Acceso y seguridad → Acceso → Cuentas de servicio (junto a Usuarios) y seleccione Nueva cuenta de servicio.
2. Indícale una dirección que indique para qué sirve (por ejemplo, nightly-export@service.yourcompany), un nombre y una frase que explique su función.
3. Marca sus funciones. Asígnale la función más específica que cumpla su cometido: una función con visualización en órdenes de compra y nada más es una clave que puede leer órdenes de compra y nada más.
4. Opcionalmente, puede limitarlo a direcciones (una IP o un rango de IPv4 como 203.0.113.0/24), acortar su duración o asignarle una fecha de caducidad.
5. Créalo. El secreto se muestra UNA SOLA VEZ; cópielo en el programa que lo utilizará. Se almacena únicamente como una huella digital y no se puede recuperar.

El programa intercambia el secreto por un token que dura unos minutos y envía el token en cada llamada como cualquier otro token de portador:

POST /api/auth/service-token
{ "client_id": "nightly-export@service.yourcompany", "secret": "txs_…" }

→ { "token": "…", "expires_in": 3600, "companies": [ … ] }

GET /api/scm/purchase-orders
Authorization: Bearer <token>
X-Company: <company id>

• El nuevo secreto emite un reemplazo y desactiva el anterior de inmediato. Los tokens ya emitidos caducan a menos que los canceles.
• La opción Revocar detiene el secreto Y finaliza cada token activo en su siguiente solicitud.
• La opción Desactivar elimina la cuenta; su nombre permanece en cada fila de auditoría que haya escrito.
• Cada token es una sesión: aparece en Plataforma → Acceso → Sesiones web y de usuario, y se puede finalizar allí como la de cualquier otro usuario.
• Las contraseñas incorrectas conllevan el mismo bloqueo que una contraseña incorrecta, y cada intercambio queda registrado en el archivo de auditoría.
• Alguien que gestione cuentas de servicio pero que no sea administrador solo puede otorgarle los roles que él mismo ostenta, y nunca el de Administrador.

La cuenta del servicio de soporte

Cada implementación incluye una cuenta de servicio que no fue necesaria para su creación: support-desk@service.tranxact. Esta cuenta se aprovisiona automáticamente a partir de una clave secreta que el proveedor establece durante la instalación, por lo que nadie en su empresa tiene que realizar ninguna acción para que se respondan sus solicitudes. Esta cuenta tiene el rol de Mesa de Soporte en todas las empresas, lo que le permite leer y responder las solicitudes de soporte y sus archivos adjuntos, sin necesidad de abrir ningún módulo ni ninguna otra pantalla. Aparece marcada como "establecida por la implementación"; su decisión de revocarla es suya y la implementación no la anulará.