Datos y seguridad de Cloud

La conexión con Cloud es restringida por diseño: la cuenta de Opfield puede hacer a una instalación conectada un conjunto fijo de preguntas y, con Allow remote management, ejecutar tres acciones. Todo lo demás se queda en tu instalación.

La conexión

• Opfield abre un WebSocket saliente sobre HTTPS hacia https://account.opfield.dev y lo autentica con las credenciales que recibió al conectarse. No se abre ningún puerto entrante, y Opfield no sigue redirecciones en esta conexión.
• La cuenta hace ping a la conexión cada 25 segundos. Opfield sustituye una conexión que ha estado en silencio 70 segundos y, tras una caída, vuelve a conectarse con un retraso creciente: desde 1 segundo, duplicándose hasta 60 segundos.
• En una instalación con varias réplicas de la aplicación, una réplica mantiene la conexión y las demás informan de su estado.
• Al conectarse, Opfield envía su ID de instalación (el que conoce el servicio de licencias), el nombre de la instalación, la versión de Opfield y si la gestión remota está activada. Mientras está pendiente la petición de un cliente de inicio de sesión hecha por un administrador, envía también la URI de redirección que pidió y cuándo. También indica que acepta peticiones de retirada de acceso (más abajo). Vuelve a enviar estos datos cada vez que cambia alguno.

Qué puede preguntar la cuenta

Petición	Qué responde Opfield	Requiere Allow remote management
Estado	Nombre de host, tiempo de actividad, versión de Opfield, núcleos y uso de CPU, cargas medias, totales y uso de memoria y disco, y el nombre, el estado, la salud y la hora de arranque de cada uno de los contenedores propios de Opfield	No
Servicios	Los nombres de los contenedores propios de Opfield	No
Logs	Las últimas líneas de uno de los contenedores propios de Opfield, opcionalmente desde una hora dada	No
Estado de actualización	Versión actual y más reciente, canal de actualización, si hay una actualización disponible y si hay una en curso	No
Token de nodo	Un token de registro de nodos de un solo uso, su caducidad y el comando de instalación, para un nodo nuevo que Opfield crea igual que Nodes > Add Node	Sí
Actualización	Inicia la actualización de Opfield a la versión disponible, igual que Settings > General	Sí
Código de configuración	Un nuevo código de configuración del primer administrador y su caducidad; se rechaza una vez completada la configuración o si la instalación tiene usuarios	Sí
Cliente de inicio de sesión	La cuenta entrega un emisor, un ID de cliente, un secreto de cliente y una URI de redirección. Opfield los acepta solo mientras está pendiente su petición desde Use Opfield account y para la misma URI de redirección (si no, SSO_CLIENT_NOT_REQUESTED), añade el proveedor “Opfield account” y activa el inicio de sesión con OIDC	No
Retirada de acceso	La cuenta indica, por su ID de cuenta de Opfield, las personas que han perdido el acceso a la instalación (eliminadas del equipo, con el acceso retirado, la instalación trasladada a otra cuenta o la cuenta suspendida). Opfield bloquea a sus usuarios; consulta Acceso retirado en la cuenta de Opfield. Responde qué usuarios se bloquearon y qué ID no tienen ningún usuario aquí	No

Una instalación gestionada también acepta un cliente de inicio de sesión que no pidió, igual que su archivo de aprovisionamiento: sustituye el cliente de un proveedor “Opfield account” en uso y, si no, solo lo guarda para Use Opfield account. Si cambiar a la cuenta de Opfield dejara la instalación sin ningún administrador capaz de iniciar sesión, cualquier instalación solo guarda el cliente.

La cuenta también puede sustituir el secreto del cliente de inicio de sesión que emitió, en una instalación gestionada y en cualquier instalación que haya recibido un cliente de ella; no hace falta Allow remote management. La instalación aplica el secreto solo mientras inicia sesión con el proveedor “Opfield account”; si un administrador eliminó ese proveedor o lo sustituyó por su propio SSO, rechaza el secreto con OPFIELD_ACCOUNT_PROVIDER_MISSING y no cambia nada, y el secreto anterior sigue siendo válido. Consulta Inicia sesión con la cuenta de Opfield e Inicio de sesión en una instalación gestionada. Una instalación sin un cliente de la cuenta rechaza la petición.

Acceso retirado en la cuenta de Opfield

Cuando alguien pierde el acceso a la instalación en la cuenta de Opfield, la cuenta se lo comunica a la instalación. Opfield bloquea a los usuarios que iniciaron sesión con esa cuenta de Opfield, sea cual sea el proveedor OIDC que use ahora la instalación:

• Sus sesiones del navegador terminan, las consolas abiertas y las vistas en vivo se cierran como en cualquier bloqueo, y sus tokens de API y sus accesos OAuth y MCP dejan de funcionar. Los tokens se conservan, no se eliminan.
• Administration > Users muestra Blocked by the Opfield account en lugar de la insignia Blocked, y el blockedBy del usuario es opfield_account en la API y en MCP (admin para un bloqueo hecho por un administrador).
• Cuando la cuenta devuelve el acceso, el siguiente inicio de sesión del usuario con la cuenta de Opfield lo desbloquea, y queda registrado como user.opfield_account_unblock. Un bloqueo hecho por un administrador nunca se levanta con un inicio de sesión. Unblock user levanta cualquiera de los dos bloqueos, y Block user sobre un usuario bloqueado por la cuenta de Opfield lo convierte en un bloqueo hecho por un administrador.
• El último administrador del sistema activo nunca se bloquea de esta forma; la respuesta a la cuenta lo indica como conservado.

Esto no requiere Allow remote management, y repetir la petición no cambia nada.

Las lecturas proceden del propio diagnóstico de Opfield: el host tal como lo ve Opfield (o los límites de su contenedor cuando el host no es visible) y los contenedores del propio proyecto Compose de Opfield. No se monta nada adicional para la conexión. Si Opfield no se ejecuta en Docker con acceso a su socket de Docker, la lista de contenedores y los logs no están disponibles y la respuesta indica por qué.

La cuenta no puede leer ni cambiar tus recursos, tu configuración, tus secretos, tus nodos, tus cargas de trabajo, tus Routes, tus bases de datos ni sus logs: Opfield solo responde a las peticiones anteriores y rechaza cualquier otra. El único ajuste que puede cambiar es el cliente de inicio de sesión descrito antes, y los únicos usuarios a los que puede afectar son los que iniciaron sesión con la cuenta de Opfield, a los que puede bloquear como se describe más arriba. Responde como máximo a ocho peticiones a la vez y responde con un error cuando una petición tarda más de 14 segundos.

Qué se guarda y dónde

Dónde	Qué
Base de datos de Opfield	El ID y el secreto de la conexión (el secreto cifrado con la clave maestra, como otras credenciales guardadas), el correo y la URL de la cuenta y cuándo se conectó; el interruptor Allow remote management con quién lo cambió y cuándo; tras una desconexión desde la cuenta, su correo, su URL, la hora y el motivo; el cliente de inicio de sesión que emitió la cuenta, si lo hay (emisor, ID de cliente, URI de redirección y el secreto cifrado), guardado aparte del proveedor OIDC para Use Opfield account; una petición pendiente de uno, con su URI de redirección y su hora
Registro de auditoría de Opfield	Cada conexión, desconexión, cambio del interruptor y petición; consulta Registro de auditoría
La cuenta de Opfield	El código de conexión y el secreto de la conexión solo como hashes SHA-256, el ID, el nombre y la versión de la instalación y cuándo se vio por última vez; el cliente de inicio de sesión que emitió para la instalación, si lo hay

Conectarse no cambia la licencia ni el plan de la instalación, que siguen funcionando a través del servicio de licencias como se describe en Planes y derechos. Para las demás conexiones salientes que hace Opfield, consulta Qué sale de una instalación autoalojada.

Si Opfield ya no puede descifrar el secreto guardado, por ejemplo tras un cambio de la clave maestra, deja de conectarse y registra un error. Vuelve a conectar con un código nuevo.

Registro de auditoría

Todas las entradas de Cloud tienen el tipo de recurso cloud-link, y el registro de auditoría nombra su recurso Opfield account con el correo de la cuenta:

Acción	Se registra cuando
cloud.connect	Opfield se conectó, o no pudo conectarse, con el origen (un código pegado o el archivo de aprovisionamiento de una instalación gestionada)
cloud.disconnect	Un usuario de Opfield desconectó, y si la cuenta lo confirmó
cloud.disconnected_by_account	La cuenta revocó la conexión
cloud.remote_management	Se activó o desactivó Allow remote management
cloud.sso_revoke	La cuenta retiró un acceso: el motivo y los usuarios que bloqueó, que ya estaban bloqueados o que se conservaron
cloud.request	La cuenta envió una petición: su tipo, el contenedor, el rango de logs, el nombre y el tipo de nodo o la versión de actualización que indicó, si tuvo éxito y el tamaño de la respuesta
cloud.enroll_file, cloud.managed_sso	Pasos del primer arranque de una instalación gestionada y del inicio de sesión con la cuenta de Opfield: un cliente de inicio de sesión pedido, una petición cancelada, un cliente recibido o solo guardado, un secreto de cliente sustituido, y el cliente olvidado y el proveedor eliminado o conservado al terminar la conexión; nunca con una clave ni un secreto

Las acciones y las peticiones fallidas siempre tienen su propia entrada. Las lecturas correctas idénticas del mismo tipo y del mismo contenedor dentro de los 10 minutos posteriores a la primera se cuentan en lugar de escribirse una a una: la primera lectura tiene su propia entrada, y las repeticiones reciben una entrada de resumen con su número y su primera y última hora cuando terminan los 10 minutos, se detiene la conexión o se apaga Opfield. Un nodo que crea la cuenta se registra con el actor cloud-link. Consulta Tasks, eventos y auditoría.

Cuando no se puede llegar a la cuenta

Nada en la instalación depende de la conexión. Opfield sigue funcionando, sirviendo tráfico y gestionando nodos; sigue intentando volver a conectarse, y el estado muestra reconnecting con el último error. La cuenta muestra la instalación como sin conexión tras dos minutos sin conexión y no puede leerla ni actuar sobre ella hasta que se vuelva a conectar.

Si desconectas mientras no se puede llegar a la cuenta, Opfield olvida la conexión de todos modos y te avisa de que desconectes también la instalación en la cuenta.

Cuando se elimina la conexión

• Desconectada en Opfield: Opfield pide a la cuenta que revoque la conexión y olvida después el ID de la conexión, el secreto y el interruptor de gestión remota.
• Desconectada o eliminada en la cuenta: la cuenta rechaza la conexión, y Opfield deja de conectarse, olvida las credenciales y el interruptor y muestra Disconnected by the account.
• Cambiada a otra cuenta: la conexión antigua se sustituye de inmediato y la gestión remota empieza desactivada.

En todos los casos, la instalación, sus recursos y su licencia no cambian; vuelve a conectar con un código nuevo cuando lo necesites. Tras una desconexión, desde cualquiera de los dos lados, Opfield olvida también el cliente de inicio de sesión de la cuenta y cualquier petición pendiente de uno. Si la instalación iniciaba sesión con el proveedor “Opfield account”, Opfield lo elimina y desactiva el inicio de sesión con OIDC, salvo que entonces ningún administrador pudiera iniciar sesión: el proveedor se mantiene, el registro de auditoría lo registra con una advertencia y Settings > Authentication > OIDC provider te pide que des a un administrador otro método de inicio de sesión y lo elimines.

Exportación y restauración de la configuración

Una exportación de la configuración restaurada en otro host no está conectada a ninguna cuenta de Opfield: se descarta la conexión de la instalación exportada, junto con el cliente de inicio de sesión de la cuenta y cualquier petición pendiente de uno. Conecta la copia con un código nuevo si la necesitas en tu cuenta.

Una exportación de una instalación gestionada vuelve sin su inicio de sesión con la cuenta de Opfield, que solo funciona en la dirección de la nube: el inicio de sesión con OIDC se desactiva, el inicio de sesión con contraseña se activa y el propietario recibe un enlace de un solo uso, válido durante 24 horas, para establecer una contraseña. El instalador imprime el enlace, y una restauración en el asistente de configuración lo muestra en su última pantalla. Los usuarios que iniciaban sesión con la cuenta de Opfield necesitan otro método de inicio de sesión. La licencia se queda con la instalación gestionada: la copia empieza en Community con un ID de instalación nuevo.