Protege tus personalizaciones de NetSuite con SuiteScript: utiliza SecureStrings y secretos de API para integraciones más seguras

Cuando hablamos de buenas prácticas de seguridad en NetSuite, uno de los primeros aspectos que nos viene a la mente es el almacenamiento de credenciales. Como consultora técnica, esta siempre es una prioridad para mí al construir nuevas integraciones, garantizando a nuestros clientes que sus contraseñas y tokens no solo están almacenados de forma segura, sino también que son gestionados adecuadamente en el código. En este artículo, revisaremos la funcionalidad API Secrets de NetSuite y exploraremos los distintos módulos de SuiteScript que permiten gestionar y utilizar credenciales sensibles de forma segura.

Contenido:

• ¿Qué son los API Secrets de NetSuite y cómo funcionan?

• Cómo utilizar SecureStrings para autenticación en NetSuite

• Cómo construir un header de autenticación básica con SecureStrings

• Conclusión
  

¿Qué son los API Secrets de NetSuite y cómo funcionan?

NetSuite ofrece un mecanismo seguro para almacenar y gestionar secretos de API mediante el menú Setup > Company > Preferences > API Secrets. Cada secreto almacena una única contraseña o token, y puedes controlar el acceso especificando qué scripts y roles están autorizados a usar cada secreto.

Para utilizar API Secrets en SuiteScript, NetSuite brinda soporte a través de varios módulos:

• N/crypto - con el método crypto.createSecretKey(options)

• N/sftp - para establecer conexiones seguras usando secretos almacenados

• N/https - para crear cadenas seguras (secure strings)
  

Cómo usar SecureStrings para autenticación en NetSuite

Para enviar credenciales de API de manera segura durante una integración, utiliza el método createSecureString del módulo N/https. Este método crea un https.SecureString a partir de un GUID o un secreto, encapsulando la información sensible.

Ejemplo para crear una cadena segura desde un secreto:

let strMyAuthenticationHeader = https.createSecureString({           input: `{custsecret_api_secret_scriptid}` 
   });

O bien, para autenticación con un token bearer:

let strMyAuthenticationHeader = https.createSecureString({
           input: `Bearer {custsecret_token_api_secret_scriptid}`
});

Las cadenas seguras no pueden manipularse como cadenas comunes, pero existen métodos que nos ayudan:

• SecureString.appendString(options) -> concatena una cadena simple

• SecureString.appendSecureString(options) -> concatena dos cadenas seguras

• SecureString.replaceString(options) reemplaza una cadena o patrón dentro de la cadena segura
  

Cómo construir un header de autenticación básica con SecureStrings

Un caso de uso común de estos métodos es construir un header de autenticación básica. Esto implica codificar en base64 la combinación usuario:contraseña y anteponerle "Basic ".

Aquí vemos un ejemplo basado en la documentación de NetSuite:

//From your user and password API secrets        
const strUsername = "custsecret_api_username";
const strPassword = "custsecret_api_password";

// Create a BASE-64 encoded name:password pair
const secStringKeyInBase64 = https.createSecureString({
    input: `{${ strUsername }}:{${ strPassword }}`
});

secStringKeyInBase64.convertEncoding({
    toEncoding: encode.Encoding.BASE_64,
    fromEncoding: encode.Encoding.UTF_8
});

// Construct the Authorization header
const secStringBasicAuthHeader = https.createSecureString({
    input: "Basic "
});

secStringBasicAuthHeader.appendSecureString({
  secureString: secStringKeyInBase64,
  keepEncoding: true
});

// Send the request to third party with the Authorization header
const objAPIResponse = https.get({
 url: "myUrl",
 headers: {
        "Authorization": secStringBasicAuthHeader
    }
});

Conclusión

Proteger las credenciales de API ya no es opcional: es fundamental en cualquier integración con NetSuite. Con la funcionalidad de API Secrets de NetSuite y los métodos de SecureString en SuiteScript, los desarrolladores cuentan con las  herramientas necesarias para resguardar datos sensibles sin recurrir a soluciones inseguras ni hardcodear secretos en los scripts. Aunque el uso de SecureStrings puede sumar algo de complejidad, ofrece una forma segura y robusta de manejar datos de autenticación en SuiteScript.

Cuando diseñes tu próxima integración o revises tu código actual, te recomendamos tomarte el tiempo de migrar cualquier credencial en texto plano a API Secrets y refactorizar tus scripts para utilizar SecureStrings. Es un pequeño paso que puede marcar una gran diferencia en la seguridad de tu entorno NetSuite.

Por Caro G., Senior Technical Consultant