Permisos

Información general

Como administrador del sistema de Workplace, puedes crear aplicaciones y concederles permisos concretos para controlar las funciones que se ofrecen a cada integración. El nombre que se asigne a cada aplicación puede reflejar el servicio que activa. Las aplicaciones incluyen identificadores de acceso y permisos únicos para controlar la información que cada aplicación puede leer o escribir.

En esta guía se describen de forma detallada la aplicación y el modelo de permisos.

Controles de permisos al editar una aplicación de integración personalizada

Permisos disponibles

A cada aplicación de Workplace se le puede conceder su propio conjunto de permisos para controlar el nivel de funcionalidad disponible en la API Graph y la API de administración de cuentas.

Al crear una aplicación y conceder permisos, dichos permisos se aplican a todas las cuentas de tu comunidad. Los titulares de las cuentas no tienen que conceder permisos adicionales a la aplicación para poder beneficiarse de su funcionalidad. Este modelo difiere del modelo de permisos de Facebook, en el que cada usuario concede individualmente permisos a una aplicación al iniciar sesión.

A continuación, se incluye una lista completa de los permisos de aplicaciones disponibles para las integraciones, junto con información general sobre cómo se pueden usar.

Permisos de nivel de grupo

En el caso de algunos permisos, es posible limitar una integración para que se active en grupos determinados. De esta forma, puedes restringir el acceso de una integración únicamente al contenido que quieras exponer.

Por ejemplo, puedes permitir que una integración de publicación de alertas solo publique en el grupo de un equipo o habilitar una integración de una aplicación de empleados para que solo lea el contenido de determinados grupos abiertos.

A fin de especificar permisos de nivel de grupo para una integración personalizada, utiliza el panel “Acceso al grupo” del cuadro de diálogo “Editar integración”.

Activar un permiso de nivel de grupo para esta integración.

Los permisos de nivel de grupo son los siguientes:

• Leer el contenido del grupo: lee las publicaciones, los comentarios y los perfiles de los miembros de los grupos seleccionados
• Administrar el contenido del grupo: administra las publicaciones y los comentarios de los grupos seleccionados
• Administrar grupos: edita o elimina los grupos seleccionados y a sus miembros

Puedes configurar una integración de forma que los permisos de nivel de grupo se puedan aplicar a todos los grupos o a grupos específicos elegidos por un administrador del sistema, o permitir que los administradores del grupo la activen para sus grupos.

Flujo de instalación para administradores

Cuando la opción Permitir que los administradores del grupo activen sus grupos esté activada, el administrador de un grupo verá una nueva pestaña Integraciones en la pantalla Administrar grupo, en la que podrá activar la integración en su grupo.

Ejemplo de aplicación que ahora puede activar el administrador del grupo.

Identificadores de aplicaciones y su uso

Tras crear una aplicación para Workplace, se genera un identificador de acceso que se puede usar con la API Graph, la API de administración de cuentas o webhooks.

Este identificador de acceso solo se mostrará una vez, por lo que es importante almacenarlo de forma segura para usarlo posteriormente en el código.

Flujo de restablecimiento del identificador de una aplicación de integración personalizada

Los identificadores de aplicaciones de Workplace nunca caducan, y no es necesario actualizarlos a menos que se hayan restablecido manualmente. Si editas los permisos disponibles para una determinada aplicación, el identificador existente seguirá funcionando y no tendrás que generar uno nuevo.

Si en algún momento necesitas invalidar un identificador, puedes restablecerlo mediante el botón Restablecer identificador de acceso del cuadro de diálogo Editar aplicación. Se generará y mostrará un nuevo identificador y el existente se invalidará de inmediato.

Seguridad de los identificadores

Los identificadores de acceso son importantes, ya que conceden acceso a los datos de tu empresa en Workplace. Al crear una aplicación, ten en cuenta el conjunto mínimo de permisos necesario para completar las funciones de la integración y no concedas permisos innecesarios.

Al almacenar identificadores o añadirlos a repositorios de código, debes tener especial cuidado para evitar que se compartan con los usuarios incorrectos.

Para añadir una capa adicional de seguridad a las integraciones, debes añadir una lista de direcciones IP autorizadas, que restringirá el uso de los identificadores únicamente a los servidores que estén en la lista de direcciones IP autorizadas.

Incorporar una lista de direcciones IP autorizadas para restringir el uso de los identificadores a los servidores indicados y solicitar la prueba de la clave secreta de la aplicación

Eliminación automática de permisos sin usar

Si una integración personalizada no realiza llamadas con un permiso determinado durante 30 días, dicho permiso se eliminará. Cuando esto haya ocurrido una vez con una integración personalizada, habrá una opción disponible para detener el proceso de eliminación.

Si se ha configurado una suscripción a webhooks válida, los webhooks enviados se consideran un uso del permiso pertinente.

Controles para la eliminación automática de permisos

Prueba de la clave secreta de la aplicación

Los identificadores de acceso de Workplace no caducan. En el caso de las integraciones personalizadas, puede ser necesaria una prueba de la clave secreta de la aplicación para añadir una capa adicional de seguridad. Al activar la opción “Solicitar la prueba de la clave secreta de la aplicación”, te aseguras de que las llamadas a la API solo se realicen desde el código del servidor, ya que se necesitará una prueba de la clave secreta de la aplicación con caducidad junto con un identificador de acceso al realizar las llamadas a la API.

Para generar una prueba de la clave secreta de la aplicación con caducidad, tendrás que concatenar el identificador con una marca de tiempo UNIX, que se separarán mediante una barra vertical |, y, a continuación, crear un hash SHA-256 de la cadena concatenada con la clave secreta de la aplicación. A continuación, se incluye un ejemplo en PHP:

$appsecret_proof = hash_hmac('sha256', $access_token.'|'.time(), $app_secret); 

Para realizar llamadas a la API con la prueba de la clave secreta de la aplicación, debes pasar el hash generado mediante el parámetro appsecret_proof y el valor de appsecret_time establecido en la marca de tiempo que utilizaste al aplicar el hash a la clave secreta de la aplicación, junto con el identificador de acceso.

GET https://graph.facebook.com/v2.9/community/groups?
&access_token={access-token}
&appsecret_proof={appsecret_proof}
&appsecret_time={appsecret_time}

Explorar la funcionalidad de la API con Postman

Postman es una herramienta de uso generalizado para trabajar con las API web. Puede que consideres oportuno explorar la API de Workplace con Postman, pero el parámetro $appsecret_proof presenta una complicación: como este valor se debe calcular y caduca una vez transcurridos cinco minutos, la situación se simplificaría si Postman pudiese generar el valor al realizarse la solicitud. De hecho, Postman puede hacerlo con las funciones de los scripts previos a la solicitud y los parámetros. Este script se puede usar como punto de partida:

// Add to Postman's Pre-request Script Tab
var access_token = "replace-me";
var app_secret = "replace-me";
var time = (new Date().getTime()/1000|0);
postman.setEnvironmentVariable("access_token", access_token)
postman.setEnvironmentVariable("appsecret_time", time);
postman.setEnvironmentVariable("appsecret_proof", CryptoJS.HmacSHA256(access_token + '|' + time, app_secret));

1) Crea un entorno activo (no hay ninguno de forma predeterminada) y, a continuación, 2) añade estos tres parámetros, que calcula el script previo a la solicitud.