Gestión de claves

La integración de Sistema de salud usa un par de claves asimétricas (pública/privada) para firmar las peticiones de token (Private Key JWT). Esta página explica cómo gestionar ese par, por qué es seguro y qué pasa al eliminar la integración.

Cómo se generan y guardan las claves

• El par de claves se genera automáticamente al crear la integración.
• La clave pública (JWK) es la que vos registrás en tu sistema de salud.
• La clave privada se almacena cifrada en reposo y nunca se expone por API ni en la UI.

La clave privada nunca sale de Quralo

Quralo nunca muestra ni entrega la clave privada. Si un sistema externo te pide "la clave", lo que tenés que registrar es la clave pública (JWK) que aparece en la sección "Clave pública (JWKS)".

El kid

El kid (key ID) es un UUID corto, estable por par de claves. Viaja en el header del client assertion JWT y le indica al servidor de autorización cuál clave pública usar para verificar la firma. Por eso el kid queda registrado junto con la JWK en tu sistema externo.

Regenerar el par de claves

El botón "Regenerar par de claves" (ámbar) genera un par nuevo:

• Genera una nueva clave pública con kid distinto.
• Inactiva la anterior (deja de usarse para firmar).
• La integración vuelve a estado draft.

La UI lo advierte explícitamente:

"Se generará una nueva clave pública con un kid distinto y la anterior quedará inactiva. Deberás re-registrar la nueva clave en tu sistema externo."

Qué hacer después de regenerar

1. Re-registrar la nueva JWK en tu sistema de salud (la anterior queda inactiva y no se aceptará más).
2. Si el client_id cambió en el sistema externo, actualizarlo en Quralo.
3. La integración queda en draft/error hasta que la verificación confirme la nueva clave.
4. Probar conexión para volver al estado active.

Cambiar el algoritmo de firma

El campo Algoritmo de firma (RS384 o ES384) debe coincidir con lo que espera tu sistema de salud. Cambiar el algoritmo también regenera el par de claves (no reutiliza el anterior), así que aplica el mismo proceso de re-registro de la JWK nueva.

Re-registro obligatorio

Regenerar claves o cambiar el algoritmo invalida la clave pública registrada en tu sistema externo. No olvides re-registrar la JWK nueva (con su kid) antes de verificar la conexión.

Seguridad de la clave privada

Aspecto	Detalle
En reposo	La clave privada se almacena cifrada y protegida, y nunca se expone por API, UI ni logs.
En tránsito	Nunca viaja: solo se usa dentro del servidor de Quralo para firmar el client assertion.
Exposición	No se expone por API, UI ni logs.

Eliminación de la integración

El botón "Eliminar integración" (rojo, al final de la página) abre un diálogo de confirmación.

El diálogo indica:

"Los servicios de Quralo que dependan de esta integración dejarán de funcionar."

y muestra el Client ID con el recordatorio:

"Recordá eliminar el cliente <client_id> de tu sistema externo."

Consideraciones al eliminar

• Después de eliminar en Quralo, hay que eliminar el cliente correspondiente en el sistema externo (evitar clientes "huérfanos" que sigan existiendo en tu HIS).
• La eliminación no es definitiva en la plataforma: desactiva el monitoreo y deja la integración en estado disabled.
• La cancelación del diálogo no elimina nada.