Cómo usar su propio almacenamiento Scaleway para documentos en SimplePDF

Como alternativa a AWS S3, Azure Blob Storage o SharePoint, puede usar su bucket de Scaleway Object Storage para almacenar documentos y envíos.

Scaleway es un proveedor cloud europeo con centros de datos en París, Ámsterdam, Varsovia y Milán. Los equipos suelen elegir Scaleway por la residencia de datos en la UE, el cumplimiento del RGPD o porque ya ejecutan su infraestructura en Scaleway y quieren que los documentos permanezcan en el mismo proveedor.

Qué acaba en su bucket de Scaleway

Una vez conectado Scaleway, dos cosas llegan a su bucket automáticamente:

• Documentos de origen: cada PDF que un usuario (o usted) carga en el editor se sube directamente a su bucket. SimplePDF no guarda ninguna copia.
• Envíos completados: cuando un usuario firma, edita o envía un documento, el PDF resultante también se escribe en su bucket.

La carga ocurre en el cliente: el navegador sube los archivos directamente a Scaleway mediante URL prefirmadas de corta duración. Los servidores de SimplePDF solo intercambian esas URL, por lo que sus documentos nunca transitan por la infraestructura de SimplePDF. El flujo es idéntico al de la configuración de AWS S3; si quiere el diagrama de secuencia completo y el modelo de seguridad, consúltelo aquí.

Cómo configurar su propio Scaleway Object Storage

La configuración de su propio bucket de Scaleway Object Storage está disponible con el plan PRO

En Scaleway

Para almacenar documentos en Scaleway Object Storage necesita un bucket y una clave de API con permisos de lectura, escritura y eliminación sobre ese bucket.

1. Cree (o elija) un bucket en la región que prefiera (fr-par, nl-ams, pl-waw o it-mil). Mantenga la visibilidad del bucket en Private (el valor por defecto). No la cambie nunca a pública. Un bucket público de Scaleway deja cada documento y cada envío que almacene allí totalmente expuesto a cualquiera en internet, incluidos los rastreadores de los buscadores. SimplePDF sube los archivos mediante URL prefirmadas, autenticadas y de corta duración: el acceso público no aporta ninguna funcionalidad y solo abre la puerta a una fuga de datos.

2. Abra IAM & API keys desde el menú de usuario en la esquina superior derecha de la consola de Scaleway.

3. Cree una aplicación IAM dedicada a SimplePDF. Pasar por una aplicación (en lugar de por su propio usuario) es la opción segura por defecto: concede solo lo que SimplePDF necesita, sobrevive a los cambios de equipo y puede revocarse sin afectar a nadie más.

• Abra la pestaña Applications y haga clic en + Create application.
• Llámela simplepdf-byos (o como prefiera reconocerla). Deje el campo de política vacío por ahora (Scaleway lo marca como opcional en este paso, pero una aplicación sin política no tiene permisos; adjuntaremos una en el paso siguiente).
• Haga clic en Create application.

4. Cree una política que conceda a la aplicación permisos acotados de Object Storage:

• Abra la pestaña Policies y haga clic en + Create policy. Llámela simplepdf-byos-policy y añada una descripción del tipo Concede a SimplePDF BYOS acceso al bucket de Object Storage.

• En Principals, seleccione la aplicación simplepdf-byos que acaba de crear.

• La política necesita dos reglas, una para el bucket (acotada al proyecto) y otra para IAM (acotada a la organización).

  Regla n.º 1 (acceso al bucket):

  • Scope: Access to resources → elija el proyecto al que pertenece su bucket.

  • Permission sets (en la sección Storage): la elección depende de si quiere que SimplePDF pueda leer su bucket o no:

    • Por defecto (lectura + escritura): marque ObjectStorageFullAccess. SimplePDF puede listar, leer, subir, eliminar y configurar CORS en el bucket.
    • Solo escritura (recomendado si no quiere que SimplePDF lea sus documentos en ningún momento, la configuración más estricta): marque ObjectStorageObjectsWrite, ObjectStorageObjectsDelete y ObjectStorageBucketsWrite. SimplePDF puede subir, eliminar y configurar CORS, pero no puede listar ni leer objetos. Scaleway no ofrece ningún preajuste para esta combinación, así que marque los tres conjuntos de permisos por separado.

    Si opta por solo escritura, marque también Write permissions only en el formulario de configuración de almacenamiento de SimplePDF que se describe más abajo, para que SimplePDF nunca intente una operación de lectura.

  Regla n.º 2 (lectura de IAM):

  • Haga clic en + Add a rule.
  • Scope: Access to Organization features.
  • Permission sets (en la sección Security & Identity): marque IAMReadOnly. Esto permite a SimplePDF leer la fecha de caducidad de su clave de API para enviar correos recordatorios 7 días y 1 día antes de que expire.

• Haga clic en Create policy.

5. Genere la clave de API:

• Abra la pestaña API keys y haga clic en + Generate API key.
• Como bearer, seleccione la aplicación simplepdf-byos que acaba de crear.
• Añada una descripción del tipo Clave de API de SimplePDF BYOS.
• Cuando se le pregunte "Will this API key be used for Object Storage?", responda Yes y seleccione como proyecto preferido el proyecto al que pertenece su bucket.
• Elija una caducidad acorde con su política de seguridad. SimplePDF envía correos recordatorios 7 días y 1 día antes de que expire la clave de API, para que pueda rotarla sin interrumpir el servicio.
• Copie inmediatamente la Access Key y la Secret Key: la Secret Key no se volverá a mostrar.

La configuración de CORS se gestiona por usted. Scaleway no expone CORS en la consola, pero SimplePDF detecta los endpoints de Scaleway y aplica automáticamente las reglas CORS necesarias a su bucket cuando guarda la configuración de almacenamiento. Las reglas siguen al campo Write permissions only configurado más abajo: se permiten GET, PUT y DELETE cuando SimplePDF tiene acceso de lectura, y GET se retira cuando deja el bucket en solo escritura. No hace falta ninguna CLI ni el AWS SDK.

Si su clave de API no puede configurar CORS (normalmente porque a la política le falta ObjectStorageBucketsWrite, incluido tanto en los permisos por defecto como en los de solo escritura descritos en el paso 4) o el bucket no es accesible, SimplePDF rechazará el guardado y mostrará el error para que pueda corregirlo antes de que se suba ningún envío.

En SimplePDF

1. Inicie sesión en su cuenta
2. Vaya a la vista de configuración de la cuenta

3. Haga clic en Update configuration

4. Seleccione Scaleway como tipo de almacenamiento y rellene sus datos:

Region: elija la región de su bucket: fr-par (París), nl-ams (Ámsterdam), pl-waw (Varsovia) o it-mil (Milán). SimplePDF deduce de esta selección la URL del endpoint de Object Storage, así que no hay ningún campo de endpoint aparte que rellenar.

Bucket: nombre de su bucket de Scaleway

Access Key: la Access Key de la clave de API que generó en el paso 5

Secret Key: la Secret Key de la clave de API que generó en el paso 5

Write permissions only: marque esta casilla si no quiere que SimplePDF pueda leer documentos de su bucket. Al marcarla, las reglas CORS aplicadas automáticamente solo permitirán PUT y DELETE (sin GET), que es justo lo que el editor necesita para subir y eliminar archivos sin leerlos.

5. Haga clic en Update

Permisos necesarios en su bucket de Scaleway

La política IAM que adjunta en el paso 4 determina lo que SimplePDF puede hacer en su bucket. Elija el modo que se ajuste a lo que necesita.

Cada política que adjunte necesita dos reglas:

• Regla acotada al proyecto (cubre el bucket): elija el proyecto al que pertenece su bucket y marque una de las combinaciones de conjuntos de permisos de más abajo en la sección Storage.
• Regla acotada a la organización (cubre la lectura de IAM): fije el ámbito en Access to Organization features y marque IAMReadOnly en la sección Security & Identity. Es obligatoria para que SimplePDF pueda leer la fecha de caducidad de su clave de API y enviar los correos recordatorios antes de que expire.

Por defecto (lectura + escritura)

En la regla acotada al proyecto, dentro de Storage, marque ObjectStorageFullAccess. SimplePDF puede listar, leer, subir y eliminar objetos, y configurar CORS en el bucket.

Solo escritura

En la regla acotada al proyecto, dentro de Storage, marque ObjectStorageObjectsWrite, ObjectStorageObjectsDelete y ObjectStorageBucketsWrite. SimplePDF puede subir y eliminar objetos, y configurar CORS, pero no puede listarlos ni leerlos. Scaleway no ofrece ningún preajuste para esta combinación, así que marque los tres conjuntos de permisos por separado.

Acciones subyacentes de la API de S3

Como referencia, estas son las acciones de S3 subyacentes que SimplePDF ejecuta en el bucket:

• s3:GetObject: para mostrar los documentos y envíos en la interfaz y al enviar webhooks (solo en el modo por defecto)
• s3:PutObject: para subir los documentos y envíos
• s3:DeleteObject: para eliminar los documentos y envíos subidos
• s3:PutBucketCORS: se concede una sola vez, cuando SimplePDF configura CORS automáticamente en su bucket al guardar

¡Eso es todo! Sus documentos y envíos se almacenan ahora automáticamente en su propio bucket de Scaleway Object Storage.

Si tiene alguna pregunta, no dude en escribir a support@simplepdf.com