Variables de entorno

Lerian SCR es el riel propiedad de Lerian que consulta las posiciones de los prestatarios en BACEN. Estas variables se configuran en el momento del despliegue. Un reinicio del servicio hace que surtan efecto. El system plane contiene un segundo conjunto de perillas que un operador cambia después del despliegue. Consulta Operaciones y System plane. En las tablas siguientes, la columna Predeterminado / Obligatorio muestra el valor por defecto. — significa que no hay valor por defecto. Un calificador en negrita marca un valor que debes establecer. Una fila marcada Sensitive. lleva material de credencial o de clave. Inyéctalo desde tu gestor de secretos en el momento del despliegue, y nunca hagas commit de un valor. La postura estricta cubre un nombre de entorno de producción y el modo de despliegue saas. Obligatorio en producción marca un valor que la postura estricta exige. Un valor faltante o inseguro ahí rechaza el arranque.

Servicio y tiempo de ejecución

Variable	Predeterminado / Obligatorio	Descripción
`SERVICE_NAME`	`br-scr`	Identidad del servicio grabada en los logs y la telemetría.
`ENV_NAME`	`development`	Entorno de despliegue. Los valores `production` y `prod` seleccionan la postura estricta.
`LOG_LEVEL`	`info`	Nivel mínimo de log. Uno de `debug`, `info`, `warn`, `error`. Otro valor rechaza el arranque.
`SERVER_PORT`	`3003`	Puerto de escucha HTTP entrante.
`DEPLOYMENT_MODE`	`local`, Obligatorio en producción	Postura TLS. Uno de `local`, `byoc`, `saas`. El valor `saas` selecciona la postura estricta. La postura estricta exige un valor explícito.
`TRUSTED_PROXIES`	—	Direcciones de proxy o rangos CIDR separados por comas cuya IP de cliente reenviada confía el servicio. Vacío no confía en ningún proxy y lee el peer directo. Un rango comodín rechaza un arranque estricto.
`PROXY_HEADER`	`X-Forwarded-For`	Header desde el que el servicio lee la IP del cliente. Se aplica solo cuando la lista de proxies confiables está definida.
`MULTI_TENANT_ENABLED`	`false`	El valor `true` sirve a varias instituciones desde una instancia a través del directorio de tenants. El valor `false` sirve a una sola.
`MULTI_TENANT_URL`	Obligatorio con multi-tenancy	URL base del directorio de tenants.
`MULTI_TENANT_SERVICE_API_KEY`	Obligatorio con multi-tenancy	Clave de servicio enviada como `X-API-Key` en cada solicitud al directorio de tenants. Sensible.
`READYZ_DRAIN_DELAY`	`3s`	Ventana que se mantiene abierta después de que readiness responde 503 al apagar, antes de que el listener se cierre. Un `0` desactiva la espera. Un valor inválido o negativo vuelve al valor por defecto. El servicio limita la ventana a un tercio del presupuesto de apagado.

Lerian SCR expone /health, /readyz, y /version en el puerto principal. Consulta Health y readiness para el contrato de las sondas, y Operaciones para las comprobaciones de readiness.

Postgres

Postgres contiene el registro de auditoría, los metadatos de la credencial, y el outbox. Un operador aplica el esquema antes del primer arranque. El servicio lee el esquema y nunca lo crea.

Variable	Predeterminado / Obligatorio	Descripción
`POSTGRES_HOST`	Obligatorio en producción	Host de la base de datos.
`POSTGRES_PORT`	`5432`	Puerto de la base de datos.
`POSTGRES_USER`	Obligatorio en producción	Usuario de la base de datos.
`POSTGRES_PASSWORD`	—	Contraseña de ese usuario. Sensible.
`POSTGRES_DB`	Obligatorio en producción	Nombre de la base de datos.
`POSTGRES_SSLMODE`	`disable`, Obligatorio en producción	Modo TLS de la conexión. La postura estricta acepta solo `require`, `verify-ca`, o `verify-full`.
`POSTGRES_MAX_OPEN_CONNS`	`25`	Máximo de conexiones abiertas en el pool. Un valor de `0` o menor restaura el valor por defecto.
`POSTGRES_MAX_IDLE_CONNS`	`10`	Máximo de conexiones inactivas en el pool. Un valor de `0` o menor restaura el valor por defecto.
`POSTGRES_CONN_LIFETIME`	`30m`	Vida máxima de una conexión del pool. Un valor no parseable vuelve al valor por defecto.
`POSTGRES_CONN_IDLE_TIME`	`5m`	Tiempo máximo de inactividad de una conexión del pool. Un valor no parseable vuelve al valor por defecto.

Redis

Redis respalda la caché de resultados, la ventana de idempotencia, y el límite de tasa entrante.

Variable	Predeterminado / Obligatorio	Descripción
`REDIS_HOST`	Obligatorio	Host de la caché. Todo modo de despliegue lo exige, a menos que el operador declare la exclusión explícita indicada abajo. Un host en blanco rechaza el arranque en caso contrario.
`REDIS_PORT`	`6379`	Puerto de la caché.
`REDIS_PASSWORD`	—	Contraseña de la caché. Sensible.
`REDIS_TLS_ENABLED`	`false`, Obligatorio en producción	La postura estricta exige `true` cuando Redis está configurado.
`SCR_REDIS_DISABLED`	`false`	El valor `true` es la declaración explícita de que este despliegue funciona sin Redis. La caché de resultados, la ventana de idempotencia, y el límite de tasa entonces se degradan.

Streaming

El despachador del outbox publica los eventos de consulta. Ninguna variable establece el topic, porque el servicio lo deriva de la fuente del evento. Las primeras cinco variables pertenecen a Lerian SCR. El resto pertenece a la librería de streaming, que aplica el TLS del broker y las credenciales SASL a la conexión.

Variable	Predeterminado / Obligatorio	Descripción
`SCR_STREAMING_BROKERS`	Obligatorio	Direcciones de brokers separadas por comas. Todo modo de despliegue las exige, a menos que el operador declare la exclusión explícita indicada abajo. Una lista en blanco rechaza el arranque en caso contrario.
`SCR_STREAMING_CLIENT_ID`	`br-scr`	Identificador de cliente del productor.
`SCR_STREAMING_SOURCE`	`br-scr`	Fuente de CloudEvents, y el origen del nombre del topic. El arranque rechaza cualquier otro valor. El servicio compara el valor sin procesar, por lo que un relleno también rechaza el arranque.
`SCR_STREAMING_TLS`	`false`, Obligatorio en producción	La postura estricta exige `true` cuando hay brokers configurados. Un `true` aquí también exige `STREAMING_TLS_ENABLED=true`.
`SCR_STREAMING_EMISSION_DISABLED`	`false`	El valor `true` detiene al despachador. Los eventos permanecen como filas pendientes del outbox, y se envían en cuanto se configura un broker.
`STREAMING_TLS_ENABLED`	`false`	Habilita la conexión TLS hacia el broker.
`STREAMING_TLS_CA_CERT`	—	Autoridad certificadora PEM codificada en base64. Un broker detrás de una autoridad privada la necesita. Sin ella, solo valida un certificado de broker de confianza pública.
`STREAMING_SASL_MECHANISM`	—	Mecanismo SASL para el productor. Sin un mecanismo, el productor se conecta de forma anónima y no presenta ningún principal para el permiso de escritura.
`STREAMING_SASL_USERNAME`	—	Usuario SASL.
`STREAMING_SASL_PASSWORD`	—	Contraseña SASL. Sensible.
`STREAMING_SASL_ALLOW_PLAINTEXT`	`false`	El valor `true` pone las credenciales SASL en la red en texto claro. Mantenlo en `false`.

Autenticación

Variable	Predeterminado / Obligatorio	Descripción
`PLUGIN_AUTH_ENABLED`	`false`, Obligatorio en producción	El valor `true` habilita el ida y vuelta de autorización en cada solicitud protegida. La postura estricta exige `true`.
`PLUGIN_AUTH_ADDRESS`	Obligatorio en producción	URL base del servidor de autorización. La postura estricta exige un esquema `https`.

Canal de BACEN

El canal saliente llega al servicio web de consulta de BACEN sobre HTTPS con credenciales HTTP Basic. El servicio lee las dos variables de credencial solo cuando el tipo de secret store es el de entorno.

Variable	Predeterminado / Obligatorio	Descripción
`SCR_WSSCR2N_BASE_URL`	Obligatorio en producción	URL base completa, incluida la ruta de contexto de BACEN. El adaptador añade solo la ruta de la operación. El host de homologación es `www9.bcb.gov.br` y el host de producción es `scr.bcb.gov.br`. La postura estricta exige un esquema `https`.
`SCR_WSSCR2N_BASIC_USER`	Obligatorio en producción con el secret store de entorno	El usuario de servicio virtual de la institución, en el formato `UUUUUDDDD.OPERADOR` de BACEN. No es el nombre de la transacción de Sisbacen.
`SCR_WSSCR2N_BASIC_PASSWORD`	Obligatorio en producción con el secret store de entorno	Contraseña de ese usuario de servicio. Sensible.

Secret store

El secret store resuelve la credencial del canal de BACEN.

Variable	Predeterminado / Obligatorio	Descripción
`SECRET_STORE_KIND`	`env`	Respaldo de la credencial. El valor `env` lee la credencial desde el entorno. El valor `aws` la lee por institución desde el vault gestionado, y habilita las operaciones de credencial. Otro valor rechaza el arranque.
`AWS_REGION`	Obligatorio en producción con el vault gestionado	Región desde la que el cliente del vault gestionado resuelve su endpoint.
`SECRET_STORE_PREFIX`	—	Prefijo de ruta del vault para las credenciales por institución. No es un secreto.

Cifrado en reposo

El registro de auditoría cifra los datos del prestatario y los indexa de forma ciega. Dos claves independientes hacen ese trabajo. Una sola clave para ambas cosas filtraría la relación entre el texto cifrado y el índice. Fuera de la postura estricta, el servicio recurre a claves de desarrollo conocidas, que nunca deben llegar a un runtime regulado.

Variable	Predeterminado / Obligatorio	Descripción
`SCR_ATREST_ENCRYPTION_KEY`	Obligatorio en producción	Clave de sobre AES-256, en base64 o como 32 bytes sin procesar. Sensible.
`SCR_ATREST_BLIND_INDEX_KEY`	Obligatorio en producción	Clave HMAC para el índice buscable del documento. Debe tener al menos 32 caracteres, y debe ser distinta de la clave de sobre. Sensible.

Telemetría y métricas

Variable	Predeterminado / Obligatorio	Descripción
`ENABLE_TELEMETRY`	`false`	El valor `true` conecta los proveedores de OpenTelemetry.
`OTEL_EXPORTER_OTLP_ENDPOINT`	—	Endpoint del colector. Con la telemetría activada, la postura estricta exige un esquema `https`.
`METRICS_PROMETHEUS_ENABLED`	`false`	El valor `true` activa explícitamente un listener de scrape dedicado de Prometheus.
`METRICS_PROMETHEUS_ADDRESS`	`127.0.0.1:9075`	Dirección de bind de ese listener. El puerto de la aplicación no lleva ninguna ruta `/metrics`.

​Servicio y tiempo de ejecución

​Postgres

​Redis

​Streaming

​Autenticación

​Canal de BACEN

​Secret store

​Cifrado en reposo

​Telemetría y métricas

Servicio y tiempo de ejecución

Postgres

Redis

Streaming

Autenticación

Canal de BACEN

Secret store

Cifrado en reposo

Telemetría y métricas