IP de confianza

Cuando llega una llamada con una clave API desde una dirección IP para la que esa clave no está aprobada, la llamada queda retenida hasta que alguien apruebe la dirección. Una clave filtrada que se usa desde otro sitio recibe un rechazo, no una respuesta.

En la barra lateral de la consola (aparece cuando la función se aplica a tu cuenta): Settings › Security Abrir ↗

Pasos

1. Abre Configuración › Seguridad y activa la opción Aprobación de IP nuevas. El diálogo muestra las direcciones desde las que se usó cada clave en los últimos 7 días, con las direcciones públicas ya marcadas: desmarca las que no reconozcas y luego actívala. Solo el propietario y los admins del espacio de trabajo pueden cambiar este ajuste, y no se activa mientras el gateway no vea las direcciones reales de los clientes (todas las llamadas parecen llegar desde una dirección privada detrás de un proxy).
2. A partir de entonces, una llamada desde cualquier otra dirección se rechaza con 403 y el código de error ip_not_trusted. El error indica la dirección que vio el gateway y enlaza a la página donde se aprueba (campos ip y approve_url). Quien creó la clave recibe un correo con la dirección, su ubicación, el cliente y el modelo que pidió (en una clave de administración, la operación llamada); si es una clave de administración que pertenece al espacio de trabajo, o quien la creó ya no está en él, el correo va al propietario y los admins.
3. Abre el enlace, inicia sesión y aprueba la dirección, o su rango (/24 en IPv4, /64 en IPv6) si el cliente cambia de dirección, o recházala. La siguiente llamada desde una dirección aprobada pasa.
4. La lista IP de confianza muestra las direcciones desde las que se usaron tus claves, con su ubicación y estado. Confía en una dirección conocida con un clic, añade a mano una dirección o un rango con Añadir IP (hasta /16 en IPv4, /32 en IPv6) o quita una.

Límites y detalles a tener en cuenta

• La confianza es por clave: aprobar una dirección deja pasar a esa clave desde ella, no a todas las claves del espacio de trabajo. Cubre tanto las claves de inferencia como las de administración.
• Una clave con su propia lista de IP permitidas no se ve afectada si ningún rango de la lista es más amplio que /16 (IPv4) o /32 (IPv6): solo decide su lista. Si la lista incluye un rango más amplio, como 0.0.0.0/0, la clave necesita aprobación como cualquier otra. Al desactivar la opción Aprobación de IP nuevas, todas las direcciones vuelven a pasar y las direcciones de confianza se conservan para la próxima vez.
• Pueden aprobar quien creó la clave y el propietario y los admins del espacio de trabajo (en una clave de administración que pertenece al espacio de trabajo, solo el propietario y los admins). La aprobación se hace en la consola, tras iniciar sesión; el correo no tiene botón de aprobar, así que un correo reenviado no aprueba nada.
• Una solicitud pendiente caduca a los 7 días. Durante los 30 días siguientes a un rechazo, las llamadas desde esa dirección se siguen rechazando, sin una solicitud nueva ni correo. Las funciones serverless y los runners de CI que llaman desde una dirección nueva en cada ejecución quedan retenidos cada vez: dales una clave con lista de IP permitidas o confía en su rango.