Centro de ayuda de TrustLayer

TrustLayer ayuda a equipos de software a organizar Evidencia técnica en torno a Aplicaciones, Agentes, Flujos de trabajo, API y Productos. La Evidencia aprobada se convierte en un Informe de confianza versionado que puede compartirse de forma privada, publicarse, integrarse como distintivo o consultarse por API.

1. Crea una cuenta en /signup, verifica el correo electrónico e inicia sesión.
2. Confirma el espacio de trabajo activo en /app/onboarding.
3. Crea un Proyecto y añade un Activo verificado con su tipo correspondiente.
4. Crea Evidencia privada. Sube un archivo no sensible solo si el almacenamiento y el escaneo están listos.
5. Crea un borrador de Informe de confianza, añade secciones, adjunta Evidencia elegible y revisa la instantánea.
6. Envíalo a revisión. Publica o crea un enlace compartido con caducidad solo tras comprobar la redacción y la visibilidad.
7. Usa un distintivo, una Clave API con permisos limitados, un webhook o GitHub únicamente si necesitas distribución o automatización.

Usa /app/projects como entrada al espacio de trabajo comercial. Cada Proyecto, activo, Evidencia y Informe se resuelve dentro de la Organización activa en servicios y datos.

• Archiva Proyectos o activos en vez de borrarlos desde la interfaz normal.
• La Evidencia empieza como no pública y los archivos necesitan un resultado de escaneo limpio.
• Los Informes publicados son instantáneas; crea una versión nueva para modificarlos.
• Privado, no listado y público son modos distintos; un enlace no listado no es adecuado para secretos.

Propietarios y administradores autorizados gestionan invitaciones y roles en /app/settings/members. Permisos de lectura, edición, facturación y administración permanecen separados. Cambiar espacio de trabajo cambia la organización activa; nunca transfiere un recurso.

Crea una clave restringida al Proyecto y con los permisos mínimos, y sigue los ejemplos ejecutables de examples/api. El contrato canónico es docs/openapi.yaml.

TRUSTLAYER_QUICKSTART_DRY_RUN=1 node examples/api/onboarding.mjs

Las mutaciones comerciales requieren idempotencia. La API no publica Informes: una persona responsable publica la instantánea revisada.

• El valor de la Clave API se muestra una vez. Guárdalo fuera del repositorio.
• 401 indica autenticación ausente o inválida; 403 indica permisos insuficientes; 404 no revela la propiedad de una Organización.
• Usa una clave distinta por integración, Proyecto y entorno.
• Rota o revoca inmediatamente si sospechas exposición.
• No envíes credenciales, enlaces compartidos privados ni evidencia de clientes al equipo de soporte.

Los webhooks comerciales usan un contrato fechado, firma HMAC, marca de tiempo e identificador UUID de entrega. El receptor verifica antes de procesar y elimina entregas duplicadas. La Evidencia de GitHub requiere vincular un repositorio verificado y una clave dedicada write:evidence.

Desconectar una integración detiene nueva ingesta y conserva Evidencia histórica. No republica ni borra Informes silenciosamente.

Genera distintivos desde /widget-builder/v2. El distintivo enlaza una versión publicada y refleja su ciclo de vida. Revisa la salida pública antes de embeberla y no uses un borrador o Informe privado como Evidencia pública.

/app/billing muestra derecho de uso y acciones alojadas cuando están configuradas. Los límites pueden impedir nuevos recursos sin borrar datos existentes. Un entorno sin proveedor debe mostrar indisponibilidad, no una compra correcta.

Consulta el canal de divulgación de seguridad y el índice legal. Exportación, borrado, retención, bloqueo legal y moderación son flujos de trabajo auditados. La Evidencia y los Informes públicos deben depurarse antes de publicar.

Proporciona hora UTC, versión, Organización, ruta afectada, identificador de solicitud, resultado esperado, resultado observado e impacto. No proporciones contraseñas, cookies, Claves API, enlaces privados ni archivos de clientes. Las vulnerabilidades se comunican por el canal de divulgación.

Los índices activos son docs/ops/README.md y docs/support/README.md. Cubren preproducción, reversión, restauración, almacenamiento, observabilidad, incidentes, datos y traspaso a soporte.

• Correo electrónico ausente: revisa la bandeja de salida o el proveedor y usa el reenvío.
• Carga bloqueada: confirma la disponibilidad del almacenamiento y del escáner.
• No se puede publicar: revisa estado, Evidencia elegible, visibilidad y moderación.
• Webhook en reintento: corrige el destino o la firma y reproduce la misma entrega.
• Cuota alcanzada: revisa uso y plan; no borres recursos automáticamente.

Activo verificado

Entidad de software gestionada dentro de un Proyecto.

Evidencia

Registro con fuente, fechas, integridad, sensibilidad y ciclo de vida.

Informe de confianza

Instantánea versionada, seleccionada y revisada para su distribución.

Organización

Frontera de datos y autorización del espacio de trabajo.

Algunos perfiles heredados conservan catálogo, validaciones, reputación y operaciones de la Organización. No forman parte de la incorporación comercial ni prueban que una función v1 esté terminada.