# Llavero

## Para qué sirve

El **Llavero** guarda las credenciales: el usuario y la clave de un sitio que pide entrar, un token de una API, la URL secreta de un canal de Slack, el usuario SNMP para consultar equipos de red. Quedan **cifradas y nadie las puede volver a ver**, ni vos ni el equipo de Lymen: las automatizaciones e integraciones las usan solo en el momento de ejecutar.

La idea es que ningún secreto aparezca escrito en una pantalla, en la configuración de una automatización ni en un resultado. En todos esos lugares **elegís** la credencial por su nombre.

## Cuándo usarlo

- Antes de conectar una [integración](https://lymen.app/docs/operacion/integraciones/) con secreto (Telegram, Slack, Teams, Jira, webhook firmado).
- Antes de armar un [chequeo de sitio](https://lymen.app/docs/operacion/chequeos-sinteticos/) que pide autenticación.
- Para guardar el usuario SNMP de tus [equipos de red](https://lymen.app/docs/instalacion/equipos-de-red/).
- Cuando cambia una clave: se vuelve a cargar el valor, sin tocar las automatizaciones que la usan.

## Quién puede qué

| Rol | Qué puede hacer |
|---|---|
| Administración | Ver la lista, agregar, editar, volver a cargar el valor, ver el historial de uso y eliminar. |
| Sistemas | No administra el llavero. Al armar una automatización puede **elegir** credenciales por nombre y tipo. |
| Negocio | Sin acceso. |

El Llavero lo puede dejar deshabilitado quien instala Lymen; en ese caso la pantalla lo avisa y no permite agregar.

## La lista

Cada credencial muestra su nombre, su tipo y una **pista** que ayuda a reconocerla sin revelar el valor, dónde está guardada, en cuántas automatizaciones se usa y cuándo se usó por última vez. Si necesita volver a cargarse, tiene una etiqueta **Volver a sellar**.

Debajo, si tenés gateways, aparece la sección **Gateways** con la clave de cada uno (ver "Solo en tu red").

## Cómo agregar una credencial, paso a paso

1. Tocá **Agregar al llavero**.
2. Poné un **nombre** y, si querés, una descripción.
3. Elegí el **tipo** y **dónde se guarda**.
4. Completá el valor. Los campos secretos se ocultan al escribir.
5. Tocá **Guardar**.

El valor se guarda y ya no se puede ver. Para cambiarlo, abrí la credencial, tocá **Editar › Cargar un valor nuevo** y volvé a cargarlo.

## Campos generales

| Campo | Para qué sirve | Valor por defecto | Valores válidos | Impacto |
|---|---|---|---|---|
| Nombre | Cómo la elegís en otras pantallas. | Vacío (obligatorio) | 3 a 80 caracteres: letras, números, espacios y `. , : ; ( ) / · _ @ -` | Lo ven quienes arman automatizaciones. No pongas el secreto en el nombre. |
| Descripción (opcional) | Para qué es y quién la dio de alta en el sistema de origen. | Vacío | Hasta 300 caracteres | Ayuda a saber a quién pedirle que la renueve. |
| Tipo | Qué clase de secreto es. | Usuario y clave | Ver la tabla siguiente | **No se puede cambiar después**: si te equivocaste, creá otra y eliminá la vieja. |
| Dónde se guarda | Cómo se protege. | Cifrada en Lymen | Cifrada en Lymen / Solo en tu red | Ver la sección siguiente. **No se puede cambiar después.** |

## Tipos de credencial

| Tipo | Para qué | Campos | Límites |
|---|---|---|---|
| **Usuario y clave** | Entrar a un sitio con autenticación básica, una base de datos, o Jira (correo y API token). | Usuario, Clave | Usuario hasta 256 (sin `:`); clave hasta 1.024. |
| **Token** | Un token Bearer o una API key. | Cómo se manda (Bearer o API key), Token, y para API key el nombre del encabezado (por defecto `X-API-Key`) | Token hasta 4.096, sin espacios. Bearer va como `Authorization: Bearer …`. |
| **Encabezado** | Un encabezado completo que se agrega al pedido. | Nombre del encabezado, Valor | Valor hasta 4.096. |
| **SNMP v3** | Consultar equipos de red. | Usuario (hasta 32), Autenticación (SHA, SHA-224, SHA-256, SHA-384, SHA-512, MD5), Clave de autenticación, Privacidad (AES, AES-192, AES-256, DES, ninguno), Clave de privacidad | Cada clave, mínimo 8 caracteres. Por defecto SHA-256 y AES. MD5 y DES son débiles: usalos solo si el equipo no admite otra cosa. |
| **Certificado de cliente** | Sitios que piden certificado (autenticación mutua). | Certificado (PEM), Clave privada (PEM), Frase de la clave (opcional) | El certificado tiene que empezar con `-----BEGIN CERTIFICATE-----`. Hasta 16.384 caracteres cada uno. |
| **Texto** | Cualquier otro secreto: la URL secreta de Slack o Teams, una cadena de conexión, un texto para enviar. | Valor | Hasta 8.192 caracteres. |

## Dónde se guarda

| Opción | Cómo funciona | Impacto |
|---|---|---|
| **Cifrada en Lymen** | El valor se cifra y lo guarda Lymen. Lo puede usar cualquier automatización o integración que lo necesite. | Es la opción normal. |
| **Solo en tu red** | El valor se cifra **en tu navegador** con la clave de un [gateway](https://lymen.app/docs/instalacion/gateways/) tuyo y Lymen guarda solo el texto cifrado. **Lymen no lo puede abrir**: solo ese gateway, dentro de tu red. | Máxima privacidad: el secreto nunca sale de tu red en claro. A cambio, solo sirve para lo que ejecuta ese gateway (por ejemplo, consultar equipos de red) y **si el gateway pierde su clave, nadie puede recuperar el valor**: hay que volver a cargarlo. En integraciones y automatizaciones solo se pueden elegir credenciales cifradas en Lymen. |

La opción **Solo en tu red** se habilita cuando hay un gateway activo que ya publicó su clave. Si no, el diálogo explica por qué está deshabilitada.

### Sellar una credencial para un gateway, paso a paso

1. En el diálogo, elegí **Solo en tu red**.
2. Completá el valor como siempre.
3. En **Sellado para tu red**, elegí el **gateway**. Lymen trae la clave pública de ese gateway y muestra su **huella** (una cadena de caracteres que la identifica).
4. **Comparala con la huella que muestra el gateway en la consola de su servidor.** Si no coincide, **no sigas** y avisá al equipo técnico: podría ser que alguien se interponga.
5. Marcá "Comparé la huella con la del gateway y coincide".
6. Tocá **Guardar**. El navegador sella el valor y manda solo el texto cifrado.

La huella es la verificación que evita que alguien te haga sellar el valor con una clave ajena. **No te saltees la comparación.**

### La sección Gateways

Muestra, por gateway, la **huella vigente** (y cuándo se publicó), las claves anteriores y cuántas credenciales hay selladas con cada una. Una clave anterior se puede **Retirar** solo si ninguna credencial quedó sellada con ella; antes hay que volver a sellar esas credenciales con la clave actual.

| Aviso en una credencial | Qué significa y qué hacer |
|---|---|
| El gateway está apagado | No se entrega hasta que lo actives. |
| El gateway no tiene clave publicada | Se reinstaló: publicá la nueva y volvé a sellar. |
| Clave perdida | El gateway ya no conserva la clave con la que se selló (por ejemplo, se reinstaló sin guardar su carpeta de claves). Nadie puede recuperarla: volvé a cargar el valor. |
| Sellada con una clave anterior | Todavía se puede usar mientras el gateway la conserve; volvé a sellarla para poder retirar la vieja. |
| El gateway no pudo abrirla | Volvé a cargar el valor. |

## Ver una credencial

Al abrirla ves: tipo, pista del valor, dónde se guarda, quién la creó y cuándo, cuándo se cargó el valor, último uso, para qué clave está sellada (si es "Solo en tu red"), **dónde se usa** (automatizaciones y canales) y el **historial de uso** (cuándo, qué automatización, si fue programada o ejecutada por alguien, y si no se entregó, con el motivo). Sirve para saber si una credencial se usa antes de cambiarla o eliminarla.

## Eliminar

Tocá **Eliminar** en el detalle y confirmá. Si se usa en alguna automatización o integración, el mensaje te las nombra y **van a fallar hasta que elijas otra credencial**. No se puede deshacer.

## Ejemplos

- **Usuario de monitoreo para un sitio con login.** Tipo: Usuario y clave; nombre: "Sitio de turnos (usuario de monitoreo)"; cifrada en Lymen. Se elige luego en la plantilla *Chequear un sitio web*.
- **Slack de la guardia.** Tipo: Texto; el valor es la URL del Incoming Webhook; se elige en la integración de Slack.
- **Equipos de red.** Tipo: SNMP v3; solo en tu red, sellada para el gateway de la sede.

## Problemas comunes

- **"Revisá los campos marcados".** Algún campo no cumple su límite (por ejemplo, claves SNMP de menos de 8 caracteres).
- **No puedo elegir "Solo en tu red".** No hay un gateway activo con clave publicada.
- **La automatización no encuentra la credencial.** Puede que se haya eliminado o que sea de otro tipo del que pide el campo.
- **Cambié la clave del sistema de origen.** Abrí la credencial y cargá el valor nuevo; no hace falta tocar las automatizaciones.
- **Dice "Volver a sellar".** Seguí el aviso de la credencial: clave anterior, clave perdida o gateway sin clave.