Personas, secretos & agents

Los workflows se apoyan en tres bloques compartidos: las personas para iniciar sesión, los secretos para los valores sensibles, y los agents — la máquina que de verdad abre el navegador. La idea que cruza los tres: inicia sesión una vez, actúa sobre tus propias cuentas, y nunca escribas una credencial dentro de un workflow.

Writ se ejecuta en tus propias cuentas, con tus propias credenciales y datos, en los sitios que estás autorizado a usar.

personas ▸ un inicio de sesión, muchas ejecuciones

Personas

Una persona es una identidad cifrada y reutilizable para un sitio: inicias sesión una vez, y cada workflow o monitor que apunta a ese sitio la reutiliza — cada objetivo referencia su propio persona_id. Las credenciales salen de la bóveda; una persona puede llevar además un segundo factor.

TOTP

Pega el secreto del autenticador una sola vez. Los códigos son de 6 dígitos por defecto con un período de 30 s, se acuñan en el momento en que corre el paso de 2FA — en el propio dispositivo cuando la ejecución es local — y nunca se escriben en los logs.

En ejecuciones cloud, el acuñado automático de 2FA es una capacidad premium (Pro en adelante) — por debajo, la ejecución responde 402 premium_feature_required. En tu propio agent local funciona en todos los planes.

Códigos por correo & SMS

Para los sitios que envían un código de un solo uso, el workflow lee el código de un buzón que conectas en integraciones. Esta ruta de lectura es solo de cloud: una ejecución local que llega a un paso así termina como twofa_required en vez de adivinar — mira Dónde se ejecuta.

secretos ▸ la bóveda

Bóveda de secretos

Guarda los valores sensibles una vez y refiérelos como {{vault:key}} en cualquier campo de workflow, para que el texto plano nunca aparezca en una receta. Los subcampos eligen una parte de un elemento guardado — {{vault:name.username}} — y la referencia desnuda tiene un valor por defecto deliberado: en un elemento de credenciales resuelve a la contraseña, en una tarjeta al número de tarjeta. Los valores solo se resuelven en tiempo de ejecución, en el agent que ejecuta la corrida.

La API devuelve nombres y metadatos, nunca valores: un secreto de credenciales expone solo su nombre de usuario, un secreto de tarjeta solo sus últimos cuatro dígitos. Los números de tarjeta y los CVC nunca se guardan en caché y nunca se devuelven.

Dos canales, dos sintaxis

Se parecen y no son intercambiables:

Canal	Referencia	Resolución
Tú, en los campos del workflow	`{{vault:key}}`	En tiempo de ejecución, en el agent que ejecuta.
El canal de IA	ve `[SECURE:key]`, emite `{{secret:key}}`	Solo en el despacho — el modelo nunca ve el valor.

Bloquear & desbloquear

La bóveda puede bloquearse. Mientras lo esté, cualquier ejecución que necesite un secreto falla con 423 vault_locked — nada recurre a un valor en caché.

agents ▸ qué máquina

Agents

Un agent es la máquina que abre el navegador. Lo eliges workflow a workflow:

	Agent local / BYO	Writ Cloud
Cargo de cómputo	Ninguno — nunca se controla, mide ni cobra	Medido del fondo incluido del plan, luego del wallet
Corre en	Tu propia máquina	La flota gestionada
Sistemas de intranet	Alcanzables	No alcanzables
Claves de IA / proveedor	Se quedan en tu máquina	Gestionadas (salvo BYO-AI)

Hay también un tercer sitio — ejecutar el coordinador open source en tu propia infraestructura. La comparación completa, incluido lo que es solo de cloud, vive en Dónde se ejecuta.

alertas ▸ seis canales

Notificaciones

Las alertas de monitores, ejecuciones y automatizaciones te llegan por seis canales — in_app, email, sms, whatsapp, signal, pushover — ajustados por categoría en tus preferencias. La cuadrícula y sus celdas bloqueadas siempre activas están documentadas en Cuentas & equipos.

conexiones ▸ oauth

Integraciones

Las integraciones son conexiones OAuth que Writ usa en tu nombre — un buzón conectado es lo que alimenta el 2FA por código de correo de arriba. Las conexiones quedan acotadas a su propósito, y son revocables en cualquier momento.

Qué sigue

Workflows: referencia personas y secretos en una ejecución.
Dónde se ejecuta: local, cloud y autoalojado, lado a lado.
Monitores: alerta al cambio por estos canales.