Secretos y variables de entorno.

Cada variable pertenece a una función. Para configurar variables se necesita una clave service_role.

aura secrets set --function checkout STRIPE_SECRET_KEY=sk_live_… WEBHOOK_SECRET=whsec_…
aura secrets list --function checkout     # los valores están enmascarados: STRIPE_SECRET_KEY sk_l***
aura secrets unset --function checkout WEBHOOK_SECRET

curl -X PUT "$AURA_URL/v1/functions/checkout/env" \
  -H "apikey: $AURA_SERVICE_ROLE_KEY" \
  -H "Content-Type: application/json" \
  -d '{"vars":[{"key":"STRIPE_SECRET_KEY","value":"sk_live_…"}]}'

PUT /env reemplaza todo el conjunto de variables con la lista que envías. aura secrets set y unset leen los valores actuales, cambian las claves que nombra y escribe el resultado.

Deno.serve(async (req) => {
  const key = Deno.env.get('STRIPE_SECRET_KEY')
  if (!key) return new Response('STRIPE_SECRET_KEY is not set', { status: 500 })
  // …llamar a Stripe con `key`
  return Response.json({ ok: true })
})

Las variables se leen en cada invocación: se aplica un cambio en la siguiente llamada.

No puede anular estos nombres. El entorno del host no es visible para su función: en una ejecución real, Deno.env.get('PATH') devolvió undefined.

Para llamar a su propio proyecto desde una función, almacene una clave service_role como secreto de esa función y envíela en el encabezado apikey de una solicitud HTTP. Nunca reenvíe la clave de un usuario y nunca coloque una clave service_role en un navegador.

En nuestra prueba local, la definición de la función devolvió un valor escrito por PUT /env sin cambios, porque no se configuró ninguna clave.

La lectura de secretos también está restringida. GET /v1/functions/{name}/env devuelve los valores descifrados y, al igual que GET /v1/functions/{name}, requiere una clave service_role. Una clave pública recibe 403.

• Nunca codifique un secreto en index.ts. El código fuente de una función se almacena en su proyecto y se devuelve a cualquier llamador service_role.
• Nunca registres un secreto. La salida de console.log termina en los registros del tiempo de ejecución.
• Utilice una variable por función, con la clave más estrecha que funcione (una clave restringida de su proveedor, no la clave maestra).
• Gire una clave estableciendo el nuevo valor y no volviendo a implementar nada: la siguiente llamada la usa.