Variables de entorno

Lerian SISBAJUD es el rail propiedad de Lerian que cumple las órdenes judiciales de bloqueo de activos y protege los datos personales que estas contienen. Defines estas variables en el momento del despliegue. Solo surten efecto tras reiniciar el servicio. La referencia de configuración BYOC documenta el backbone universal que comparte cada servicio Go de Lerian: servidor, almacenes de datos, multi-tenancy, telemetría, autenticación de plugins y licenciamiento. Esta página cubre solo las variables distintivas de Lerian SISBAJUD. En las tablas siguientes, la columna Valor por defecto / Requerida muestra el valor por defecto. Un calificador en negrita (por ejemplo Requerida o Requerida si está habilitada) marca las variables que debes definir. — significa que no hay valor por defecto. Cualquier variable marcada como Sensible contiene material de credenciales o claves. Inyéctala desde tu gestor de secretos en el momento del despliegue. Nunca guardes un valor en el repositorio.

Servicio y runtime

Variable	Valor por defecto / Requerida	Descripción
`SERVER_ADDRESS`	—	Dirección de escucha HTTP principal; sin valor por defecto en el código, así que defínela explícitamente (el despliegue de referencia usa `:4029`). Las sondas de liveness, readiness, métricas y versión se enlazan a este mismo puerto.
`ENVIRONMENT_NAME`	—	Entorno de runtime: `local`, `development`, `staging`, `e2e`, `test` o `production`. `ENV_NAME` se acepta como nombre alternativo. Si no se define queda vacío y se trata como si fuera producción, así que los controles de seguridad más estrictos se activan de forma cerrada.
`SYSTEMPLANE_ENABLED`	`false`	Habilita la API de administración de configuración en tiempo de ejecución de Systemplane bajo el prefijo `/system` en el puerto principal. Desactivada por defecto (modo solo variables de entorno).
`DEFAULT_TENANT_ID`	Requerida en modo single-tenant	UUID del tenant usado en modo single-tenant. No hay un valor por defecto de cadena efectivo: define explícitamente un UUID válido para una operación single-tenant utilizable. El tenant es la frontera de aislamiento de base de datos y puede contener varias instituciones; cada institución se enruta por su propio identificador dentro del tenant. Con la autenticación desactivada, el riel también usa este UUID como respaldo de su única institución configurada.

Lerian SISBAJUD expone /health (liveness), /readyz (readiness), /version y /metrics en el puerto principal. Cuando habilitas la multi-tenancy, también expone GET /readyz/tenant/{id}. Consulta Salud y readiness para el contrato de las sondas.

Backend de seguridad

El servicio valida el proveedor KMS al arrancar. Selecciona el backend que protege con cifrado de sobre los datos de embargo ordenados por la justicia. En producción, un valor sin definir o no soportado falla el arranque de forma cerrada. Fuera de producción, el valor por defecto es vault.

Variable	Valor por defecto / Requerida	Descripción
`KMS_PROVIDER`	`vault` (fuera de producción) · Requerida en producción	Gestor de claves de cifrado de sobre: `vault` (HashiCorp Vault Transit) o `aws` (AWS KMS). Se lee una vez al arrancar; no es recargable en caliente. No hay proveedor en memoria.

KMS_PROVIDER=vault requiere las variables de Vault de abajo. KMS_PROVIDER=aws requiere la AWS_REGION compartida. Las credenciales de conector por institución se sellan dentro de los metadatos de configuración de la institución bajo una KEK de clase de credenciales; ningún selector de entorno elige su almacenamiento. KMS_PROVIDER usa vault por defecto cuando no se define fuera de producción. En producción, debes definirlo explícitamente o el arranque falla de forma cerrada.

Vault (cuando `KMS_PROVIDER=vault`)

Variable	Valor por defecto / Requerida	Descripción
`VAULT_ADDR`	Requerida para el proveedor Vault	Dirección del Vault del cliente.
`VAULT_AUTH_METHOD`	`token`	Método de autenticación: `token` (`VAULT_TOKEN` estático) o `approle` (role id y secret id de AppRole).
`VAULT_TOKEN`	Requerida si `token`, en producción	Token de servicio para Vault. Sensible. Fuera de producción recurre a un token de desarrollo.
`VAULT_APPROLE_ROLE_ID`	Requerida si `approle`	Role id de AppRole. Sensible.
`VAULT_APPROLE_SECRET_ID`	Requerida si `approle`	Secret id de AppRole. Sensible.
`VAULT_TRANSIT_MOUNT_PATH`	`transit`	Ruta de montaje del motor Transit usado para el cifrado de sobre.

AWS (cuando `KMS_PROVIDER=aws`)

Variable	Valor por defecto / Requerida	Descripción
`AWS_REGION`	Requerida con `KMS_PROVIDER=aws`	Región para el adaptador de AWS KMS. El arranque falla de forma cerrada cuando `KMS_PROVIDER=aws` y está en blanco. Las credenciales se resuelven a través de la cadena por defecto del AWS SDK.
`AWS_ENDPOINT_URL`	—	Sobrescritura de endpoint compatible con AWS. Déjala sin definir en entornos AWS reales para que el SDK use sus endpoints por defecto.

Ciclo de vida criptográfico

El cifrado de sobre usa una clave de datos por registro sellada bajo la clave maestra de la institución, más un índice ciego para la búsqueda de coincidencia exacta sobre los identificadores fiscales.

Variable	Valor por defecto / Requerida	Descripción
`SISBAJUD_DEK_CACHE_TTL`	`5m`	Duración de una clave de cifrado de datos desenvuelta en la caché en memoria antes de volver a pedir al KMS que la desenvuelva. Cadena de duración de Go.
`SISBAJUD_DEK_CACHE_MAX_ENTRIES`	`50000`	Techo de las primitivas de clave de datos en caché; acota el heap durante un descifrado por lotes grande.
`SISBAJUD_HMAC_COEXISTENCE_WINDOW`	`720h`	Ventana durante la cual los hashes de índice ciego de la versión anterior de clave HMAC siguen siendo consultables tras una rotación de clave. Cadena de duración de Go.
`KEK_REWRAP_BACKFILL_ENABLED`	`false`	Habilita el barrido en segundo plano que avanza las filas de clave de datos rezagadas a la versión de clave maestra activa tras una rotación.
`REHASH_BACKFILL_ENABLED`	`false`	Habilita el barrido en segundo plano que rehashea las filas de índice ciego rezagadas a la nueva versión de clave HMAC primaria.

Workers de dominio

El procesamiento de órdenes judiciales se ejecuta como un conjunto de crons en segundo plano por institución. Todos están desactivados por defecto excepto el recolector de locks de procesamiento, que se ejecuta por defecto. Los workers usan los ajustes de cadencia *_SCAN_INTERVAL (segundos) y *_BATCH_SIZE cuando corresponde.

Variable	Valor por defecto / Requerida	Descripción
`EXECUTION_ENABLED`	`false`	Interruptor maestro del motor de ejecución de órdenes. Cuando está desactivado, el orquestador FIFO y el despacho posterior permanecen inactivos.
`ORCHESTRATOR_LOCK_TTL`	`30`	Lease del lock de ejecución por sujeto, en segundos.
`ORCHESTRATOR_RENEW_INTERVAL`	`10`	Cadencia, en segundos, a la que el worker propietario renueva el lock. Debe mantenerse estrictamente por debajo de `ORCHESTRATOR_LOCK_TTL` o el arranque falla de forma cerrada.
`PROCESSING_LOCK_REAPER_ENABLED`	`true`	Activa el recolector en segundo plano que elimina las filas de locks de procesamiento vencidos de cada tenant.
`PROCESSING_LOCK_REAPER_INTERVAL_SEC`	`300`	Cadencia, en segundos, del barrido del recolector. Si esta variable no se define o no es positiva, el servicio usa 300 segundos.
`UNBLOCK_EXECUTION_SCAN_INTERVAL`	`60`	Cadencia del barrido de desbloqueos pendientes en segundos. Comparte el control `EXECUTION_ENABLED`.
`UNBLOCK_EXECUTION_BATCH_SIZE`	`500`	Órdenes de desbloqueo pendientes procesadas por pasada de tenant.
`PERMANENT_BLOCK_EXPIRY_ENABLED`	`false`	Habilita el escaneo diario que expira los bloqueos permanentes vencidos.
`RECONCILIATION_ENABLED`	`false`	Habilita el escaneo que reconcilia las órdenes de monitoreo contra el ledger y persiste las brechas detectadas.
`RETURN_FILE_GENERATION_ENABLED`	`false`	Habilita la generación de archivos de devolución SISBAJUD para las órdenes terminales no devueltas.
`INFORMATION_RETURN_FILE_GENERATION_ENABLED`	`false`	Habilita la generación de archivos de respuesta de información AJUD309.
`SLA_ALERT_ENABLED`	`false`	Habilita el evaluador que clasifica las órdenes activas por banda de riesgo de SLA y emite las bandas como métricas.
`RETURN_FILE_ENVIRONMENT`	`HOMOLOGATION`	Entorno regulatorio estampado en los archivos de devolución generados.

Almacenamiento de objetos

Lerian SISBAJUD escribe los artefactos de embargo ordenados por la justicia en un almacén de objetos compatible con S3, ya cifrados. La capa de blobs nunca ve texto en claro.

Variable	Valor por defecto / Requerida	Descripción
`SEAWEEDFS_S3_ENDPOINT`	`http://localhost:8333`	Endpoint del almacén de objetos compatible con S3. Las fallas de cableado del almacenamiento no son fatales: el servicio arranca y la sonda de readiness reporta el almacén como no disponible.
`SEAWEEDFS_BUCKET`	`sisbajud`	Bucket para los artefactos de remesa y devolución (ya cifrados).
`SEAWEEDFS_REGION`	`us-east-1`	Etiqueta de región S3 requerida por el AWS SDK.
`SEAWEEDFS_ACCESS_KEY`	—	Clave de acceso del almacén de objetos. Sensible. Déjala en blanco cuando el almacén no necesite autenticación.
`SEAWEEDFS_SECRET_KEY`	—	Clave secreta del almacén de objetos. Sensible. Déjala en blanco cuando el almacén no necesite autenticación.
`STA_INBOUND_BUCKET`	`sta-files`	Bucket que contiene los objetos de remesa en bruto a los que apunta una notificación de recepción.
`STA_FILE_LOCK_TTL`	`5`	TTL del lock de procesamiento por archivo, en minutos.

Conector del ledger Midaz

Lerian SISBAJUD lee saldos y bloqueos a través del ledger Midaz. MIDAZ_BASE_URL es un fallback opcional para todo el servicio; los metadatos del conector por institución tienen precedencia.

Variable	Valor por defecto / Requerida	Descripción
`MIDAZ_BASE_URL`	— (fallback opcional)	URL base del ledger Midaz. Se usa solo cuando los metadatos por institución no proporcionan una URL. La resolución del conector falla de forma cerrada solo si ninguno proporciona una URL.
`MIDAZ_AUTH_ENABLED`	`false`	Habilita la autenticación máquina a máquina hacia Midaz.
`MIDAZ_AUTH_ADDRESS`	Requerida si está habilitada	Dirección del servicio de autenticación para acuñar tokens de Midaz.
`MIDAZ_CLIENT_ID`	Requerida si está habilitada	Client id de OAuth para Midaz. Se ignora en modo multi-tenant (se resuelve por tenant).
`MIDAZ_CLIENT_SECRET`	Requerida si está habilitada	Client secret de OAuth para Midaz. Sensible. Se ignora en modo multi-tenant (se resuelve por tenant).

​Servicio y runtime

​Backend de seguridad

​Vault (cuando KMS_PROVIDER=vault)

​AWS (cuando KMS_PROVIDER=aws)

​Ciclo de vida criptográfico

​Workers de dominio

​Almacenamiento de objetos

​Conector del ledger Midaz

Servicio y runtime

Backend de seguridad

Vault (cuando `KMS_PROVIDER=vault`)

AWS (cuando `KMS_PROVIDER=aws`)

Ciclo de vida criptográfico

Workers de dominio

Almacenamiento de objetos

Conector del ledger Midaz