Seguridad

Riversoft® STCP DirectLink API da acceso a los archivos de los usuarios. Por eso, las credenciales, los tokens y los enlaces seguros deben protegerse como contraseñas. Esta página reúne las buenas prácticas para quienes integran con la API. Los recursos de seguridad del producto están en Seguridad de Riversoft STCP DirectLink.

Transporte

• Use HTTPS en producción y valide el certificado TLS del servidor. No desactive la verificación de certificado en el cliente (por ejemplo, curl -k).
• Acceda al servicio por el host configurado en el entorno. Las solicitudes con host o puerto diferentes pueden rechazarse.

Credenciales y tokens

• No guarde contraseñas, tokens, PIN, secretos TOTP ni enlaces seguros en el código fuente, en archivos versionados, en el historial del shell, en logs ni en tickets de soporte.
• Guarde las credenciales de la integración en un almacén de secretos o en variables de entorno protegidas.
• Trate el access_token como una contraseña. Es válido durante el tiempo indicado en expires_in; obtenga un nuevo token cuando expire.
• No reutilice credenciales de producción en entornos de prueba.

Autenticación multifactor

• El MFA del inicio de sesión local puede ser por PIN enviado por correo electrónico o SMS, o por código TOTP de una aplicación autenticadora. Vea Inicio de sesión local y MFA.
• Muestre el secreto TOTP y el código QR solo al propio usuario, y solo en el registro.
• Los enlaces de MFA están vinculados al usuario y expiran. No los modifique ni los reutilice.

Single Sign-On

Los callbacks de OAuth 2.0 y SAML 2.0 los envía el proveedor de identidad. No intente construir códigos de autorización, state ni aserciones SAML manualmente: esos mensajes están firmados y vinculados a la sesión y al proveedor configurados. Vea Single Sign-On.

Compatibilidad con OAuth 2.1

La API sigue OAuth 2.1 cuando el password grant está deshabilitado:

• los tokens se obtienen por token exchange o por el Single Sign-On y se envían solo en el encabezado Authorization: Bearer;
• en el Single Sign-On con OAuth 2.0 y OpenID Connect, la API usa PKCE (S256) y un state de un solo uso en cada inicio de sesión, como exige OAuth 2.1.

El administrador del servicio elige los métodos de autenticación aceptados en el servicio de red de la API, en el Riversoft Console Portal. Si su integración usa el password grant, migre al token exchange antes de deshabilitarlo. Vea Tokens OAuth.

Sesión

• La cookie __Host-dirl_session se emite con los atributos Secure, HttpOnly y SameSite=Strict. Si su aplicación guarda la cookie (por ejemplo, en cookies.txt con curl), proteja el archivo como una credencial y elimínelo al final de la sesión.
• Cierre la sesión con /auth/logout (o con el logout SSO) cuando termine la integración. Terminar una transferencia no cierra la sesión. Vea Sesión y logout.

Permisos

• Use un usuario propio para cada integración, con acceso solo a los buzones necesarios.
• Use el token de impersonación solo en integraciones técnicas, y guárdelo como una credencial de larga duración. Vea Tokens OAuth.

Enlaces seguros

• Envíe los enlaces de descarga solo al destinatario autorizado.
• Los enlaces de descarga del listado solo funcionan con el token o la cookie de sesión del propio usuario. Para entregar un archivo a terceros, use el enlace compartido.
• No registre enlaces seguros en logs ni los incluya en mensajes públicos.
• No modifique ni reutilice enlaces de MFA, de cambio de contraseña o de descarga. Están vinculados a la operación y expiran.
• Envíe el PIN por un canal diferente del usado para el enlace, cuando su aplicación haga ese envío.
• Los plazos predeterminados son de 24 horas para enlaces de descarga y 180 segundos para PIN; el administrador puede cambiarlos. Planifique el envío para que el destinatario use el enlace dentro del plazo.

Integridad de los archivos

En el upload, indique el hash esperado del archivo (campo h, SHA-256, en el multipart; header X-STCPDIRECTLINK-HASH en el cuerpo binario) para que el servicio pueda validar el contenido recibido. Vea Enviar archivos.

Auditoría

Las transferencias quedan registradas en el log de Riversoft STCP DirectLink. Consulte el informe de transferencias para acompañar los envíos y las descargas de la integración.

Checklist de seguridad

• HTTPS con validación de certificado.
• Credenciales fuera del código y de los logs.
• MFA habilitado para los usuarios del inicio de sesión local.
• Usuario dedicado a la integración, con permisos mínimos.
• Renovación del token antes o después de la expiración.
• Enlaces seguros tratados como credenciales.
• Hash SHA-256 indicado en el upload, cuando esté disponible.
• Logout al final de la sesión.
• Informe de transferencias revisado periódicamente.