Conectar-se a outros sistemas de forma segura
Conexões via HTTPS ou diretamente para um host e porta, TLS 1.2 como padrão mínimo, certificados que você carrega e um teste que indica exatamente o que falhou.
Uma conexão, em Plataforma → Conectividade → Integração → Conexões, é um conector apontado para um sistema real: seu antigo ERP, um diretório, um servidor de e-mail, a API de um parceiro. Ela armazena a localização do sistema, como comprovar sua identidade e as credenciais que o TRANXACT apresenta a ele — criptografadas na entrada e nunca exibidas na saída.
Existem duas maneiras de acessar um sistema.
| Transporte | O que você preenche | Quando usar |
|---|---|---|
| HTTPS | URL do endpoint. Deve começar com https:// — em todos os ambientes, incluindo teste e desenvolvimento. | Uma API ou serviço web, acessado pela internet ou pela sua própria rede. |
| Direto | Host (apenas um nome ou endereço), Porta e Protocolo. | Um banco de dados, um diretório ou uma porta de serviço acessada por meio de um caminho de rede, como uma VPN, uma interconexão ou um peering. |
Uma conexão direta especifica seu protocolo, porque os sistemas iniciam o TLS de duas maneiras diferentes:
- tls — TLS desde o primeiro byte. LDAPS, SAP HANA, SQL Server com criptografia rigorosa, SMTPS, AMQPS e Kafka funcionam dessa maneira.
- postgres — PostgreSQL, que se conecta em texto não criptografado por um momento e depois negocia o TLS antes de qualquer outra comunicação.
Não existe opção de texto simples nem exceção para uso exclusivo em testes. Uma conexão usada "apenas em testes" é aquela que carrega credenciais reais no dia em que alguém a copia; portanto, a regra que vale em produção vale em todos os lugares.
TLS 1.2 ou superior, e sempre verificado.
- Cada handshake utiliza TLS 1.2 ou superior. A versão mais antiga do TLS pode elevar esse nível para TLS 1.3 para uma conexão; versões anteriores não podem ser selecionadas, e o banco de dados também as rejeita, portanto, não podem ser definidas por importação ou script.
- O certificado do servidor é sempre verificado. Não existe uma opção "não verificar", porque uma conexão que aceita qualquer certificado é criptografada para quem responder, o que não é a mesma coisa que criptografada para o sistema a que você se referia.
- O nome do servidor é usado quando o certificado indica um host diferente daquele ao qual você se conecta — por exemplo, você acessa o banco de dados em 10.20.0.15 e o certificado indica hana.corp.local. Ele serve tanto para solicitar o certificado correto quanto para verificá-lo.
- A impressão digital fixada é opcional: trata-se da impressão digital SHA-256 do certificado do servidor. Com ela definida, qualquer outro certificado será recusado, mesmo que válido. Lembre-se de alterá-la quando o certificado do servidor for renovado.
Certificados
A tela de Certificados, na mesma seção de Integração, exibe os certificados que as conexões confiam ou apresentam. Existem dois tipos.
| Tipo | Para que serve? |
|---|---|
| Autoridade de Certificação Confiável | Uma autoridade de certificação (CA) gerenciada pela sua própria organização. Um servidor dentro da sua rede geralmente possui um certificado emitido pela sua CA, que nenhuma raiz pública conhece; faça o upload da CA aqui e selecione-a como CA Confiável na conexão. Se deixado em branco, a conexão confiará nas raízes públicas. |
| Certificado do cliente | Apresentado pelo TRANXACT ao servidor, para TLS mútuo — o servidor verifica quem está fazendo a chamada, assim como vice-versa. Após o upload, utilize a opção "Armazenar chave privada". A chave deve pertencer a esse certificado, é armazenada em repouso e nunca mais é exibida; ela só pode ser substituída. |
Cole o certificado no formato PEM, de -----BEGIN CERTIFICATE----- a -----END CERTIFICATE-----; uma cadeia pode segui-lo. Você não precisa digitar o assunto, a autoridade emissora, a validade ou a impressão digital — esses dados são lidos do próprio certificado, portanto, a lista não pode conter informações que o certificado não inclua. A lista mostra os dias restantes, marca um certificado como expirando ou expirado e contabiliza quantas conexões o utilizam, para que você saiba o que para de funcionar antes que isso aconteça.
Teste
O teste de conexão realiza um handshake TLS real e verificado com o servidor apontado — e, no caso de HTTPS, com uma única requisição — e verifica se há algo para autenticar. Quando a conexão falha, o teste indica qual parte falhou, pois a mensagem "não foi possível conectar" não fornece nenhuma informação sobre o que fazer em seguida.
| O que o teste diz | O que fazer |
|---|---|
| O certificado do servidor não é confiável. | Faça o upload da Autoridade Certificadora (CA) que emitiu o certificado em "Certificados" e selecione-a como "CA Confiável" na conexão. |
| O certificado não menciona este host. | Defina o nome do servidor para o nome que o certificado possui. |
| O servidor não oferece nada em TLS 1.2 ou superior. | O servidor precisa ser atualizado. O TRANXACT não funcionará em versões inferiores. |
| O servidor solicita um certificado de cliente. | Faça o upload de um certificado de cliente, armazene sua chave privada e selecione-o na conexão. |
Podemos entrar em contato diretamente?
A verificação de conexão direta responde à pergunta inicial de toda integração. Ela tenta conectar-se ao host na porta configurada e nas portas usuais — PostgreSQL 5432, SQL Server 1433, SAP HANA 30015, 30013 e 30041, SAP Business One Service Layer 50000, Oracle 1521 e 2484, MySQL 3306, LDAPS 636, catálogo global do Active Directory 3269, SMTPS 465, IMAPS 993, FTPS 990, AMQPS 5671, MQTTS 8883, Kafka 9093, 443 e 8443 — a partir da própria rede do servidor TRANXACT, e informa quais portas respondem E completam um handshake TLS 1.2 ou superior.
- A frase "Uma conexão direta é possível", seguida das portas, serviços e versões TLS que funcionaram, significa que você pode configurar a conexão como Direta hoje mesmo.
- Caso contrário, indica que é necessário um caminho de rede — uma VPN, uma interconexão ou um peering com esse host — o que requer uma conversa com quem administra a rede, e não uma configuração aqui.
A lista de Conexões mostra o transporte de cada conexão, o ponto de extremidade, a versão TLS negociada por último e se a Conexão Direta é possível, inacessível ou não selecionada.
Os endereços de metadados da nuvem nunca são sondados. Eles fornecem as próprias credenciais do servidor para qualquer coisa que as solicite, e é exatamente por isso que um teste de conexão não deve ser uma forma de fazer essa solicitação.