El prospecto de GlobalLink, dentro del sistema de TNI

Objetivo. Autorizar por escrito las altas descritas en el addendum COT-0003-A1 versión 2, que ya está redactado y no requiere cambios de nuestro lado.

Qué se firma. El documento «Addendum COT-0003-A1 · Autorización de write-back limitado, versión 2 del 20 de agosto de 2026». Firman José Lutz por Truly Nolen International y Pablo Estrada por AI Catalysts. Autoriza únicamente altas en cuatro tablas de tres bases, prohíbe modificar y borrar, y puede suspenderse por correo con efecto inmediato.

Qué hacemos nosotros con él. Depositamos el PDF firmado en el servidor de la plataforma, en la ruta /etc/tn-globallink/writeback-addendum-firmado. El programa de escritura verifica que ese archivo exista y no esté vacío antes de cada corrida; si no está, no emite ninguna alta y lo deja escrito en su registro.

Criterio de aceptación. PDF firmado por ambas partes, en cualquier formato de firma. No hace falta plataforma de firma electrónica.

Una salvedad, para que quede escrita. El texto del addendum describe idempotency_key como columna obligatoria. En la práctica se aplica como nula con índice único filtrado (R4) —de otro modo fallaría sobre las filas que ya existen— y, además, R4 pasó a ser opcional. No cambia el alcance autorizado ni las tablas afectadas; si prefieren corregir esa línea antes de firmar, lo hacemos en el día.

Qué no hace falta. Ningún anexo técnico nuevo: el memo que lo acompaña ya está entregado.

Objetivo. Un login nuevo, distinto del lector, que sólo pueda insertar en cuatro tablas de las tres bases productivas.

Por qué uno nuevo y no ampliar el actual. Para poder revocar la escritura sin tocar la lectura, y para que cualquier auditoría vea en el catálogo de permisos exactamente qué puede hacer cada uno.

Objetos a crear. Un login de servidor y tres usuarios de base, uno por base:

Por qué también SELECT. Porque el alta devuelve el número asignado con OUTPUT INSERTED.IdCliente, y sin permiso de lectura sobre esa tabla el motor rechaza la cláusula. El SELECT se limita a esas cuatro tablas; el resto de la base queda fuera.

Script, listo para ejecutar. La contraseña la generan ustedes y nos la entregan por la bóveda de secretos, nunca por correo ni por chat:

/* ---------- 1) una sola vez, en la instancia ---------- */
USE [master];
GO
CREATE LOGIN [user_globallink_writer]
  WITH PASSWORD = N'<la que ustedes generen>',
       CHECK_POLICY = ON,
       CHECK_EXPIRATION = OFF,
       DEFAULT_DATABASE = [Truly];
GO

/* ---------- 2) repetir el bloque completo en Truly, TrulyNew y TrulyRuso ---------- */
USE [Truly];   -- luego [TrulyNew], luego [TrulyRuso]
GO
CREATE USER [user_globallink_writer] FOR LOGIN [user_globallink_writer];
GO
GRANT INSERT, SELECT ON [dbo].[Clientes]   TO [user_globallink_writer];
GRANT INSERT, SELECT ON [dbo].[Contactos]  TO [user_globallink_writer];
GRANT INSERT, SELECT ON [dbo].[Servicios]  TO [user_globallink_writer];
GRANT INSERT, SELECT ON [dbo].[Propuestas] TO [user_globallink_writer];
GO
DENY UPDATE, DELETE ON [dbo].[Clientes]   TO [user_globallink_writer];
DENY UPDATE, DELETE ON [dbo].[Contactos]  TO [user_globallink_writer];
DENY UPDATE, DELETE ON [dbo].[Servicios]  TO [user_globallink_writer];
DENY UPDATE, DELETE ON [dbo].[Propuestas] TO [user_globallink_writer];
GO

Verificación. Ejecutar en cada base conectado como ese usuario. Devuelve una fila por tabla y permiso, incluidas las denegaciones: tienen que salir dieciséis filas — ocho GRANT de INSERT y SELECT, y ocho DENY de UPDATE y DELETE. Las ocho de DENY son la prueba de que la restricción quedó puesta, no un defecto:

SELECT o.name AS tabla, p.permission_name, p.state_desc
FROM   sys.database_permissions p
JOIN   sys.objects o ON o.object_id = p.major_id
WHERE  p.grantee_principal_id = DATABASE_PRINCIPAL_ID('user_globallink_writer')
ORDER BY o.name, p.permission_name;

-- y la prueba negativa: esto TIENE que fallar con error 229
UPDATE dbo.Clientes SET Observaciones = Observaciones WHERE 1 = 0;

Criterio de aceptación. Las dieciséis filas —ocho concedidas y ocho denegadas— y el error 229 en la prueba negativa. Nosotros repetimos la misma verificación desde nuestro servidor y la dejamos en el registro de la primera corrida.

Qué no hacer. No agregar el usuario a db_datawriter ni a ningún rol fijo: eso le daría escritura sobre toda la base. No darle EXECUTE sobre procedimientos. No crearlo en TrulyGestion. No reutilizar la contraseña del lector.

Objetivo. Que las conexiones de ese usuario, desde nuestra única dirección, lleguen al puerto del motor.

Cómo se comprueba, y por qué hacen falta los dos lados. Esta regla es la única de las tres que no se puede verificar desde dentro de su red: una prueba de conexión lanzada desde su propio servidor devuelve «conectado» con la regla puesta o sin ella, porque no atraviesa el firewall. Se comprueba en dos pasos:

1 · Ustedes, que el motor escucha. Desde el servidor de base de datos, confirma que el puerto es el correcto y que la instancia responde. No prueba la regla:

Test-NetConnection -ComputerName localhost -Port 11433
# TcpTestSucceeded : True → el motor escucha en 11433

2 · Nosotros, que la regla deja entrar. Abrimos una conexión desde la IP autorizada con el usuario de R2, en modo sombra, sin insertar nada, y les confirmamos el resultado el mismo día. Es lo único que prueba de verdad que la lista blanca quedó bien.

Criterio de aceptación. Nuestra conexión entra desde la IP autorizada, y falla desde cualquier otra. Ese par —entra una, no entran las demás— es lo que demuestra que es una lista blanca y no una apertura general. Se lo pasamos por escrito el mismo día.

Qué no hacer. No abrir el puerto a rangos amplios ni a Internet. Si su política exige VPN en lugar de lista blanca, decirlo y coordinamos: el programa corre en un servidor fijo y puede usar un túnel.

Objetivo. Que si nuestro programa reintenta un alta que en realidad ya entró (corte de red justo después del INSERT), sea el propio motor de SQL Server el que rechace la segunda.

Corrección del 4 de septiembre: esto dejó de ser opcional. En la versión anterior de este documento lo presentamos como «una mejora para ustedes, que nosotros no necesitamos». Era una lectura incompleta y la corregimos acá. Es cierto que la protección contra duplicados funciona sin esta columna: antes de insertar comparamos contra la cartera de la oficina y marcamos cada alta con el identificador del negocio dentro del texto de Observaciones. Pero eso resuelve nuestro problema, no el suyo. Mientras el identificador viva dentro de un texto libre, el negocio no existe como dato en su base: no se puede consultar, no se puede indexar, y no se puede cruzar con nada. Y en dbo.Propuestas, que no tiene columna de observaciones, directamente no queda ningún rastro. Esta columna es la única forma de que un prospecto creado por GlobalLink tenga identidad propia del lado de TNI. Sigue sin bloquear la primera escritura —si no está, escribimos igual—, pero ya no la presentamos como prescindible. El detalle está en 5.1.

Objetos a crear. Doce columnas y doce índices: cuatro tablas por cada una de las tres bases.

Por qué nula y con índice filtrado, y no obligatoria. El texto del addendum la describe como obligatoria. Aplicarla así fallaría: las filas que ya existen no tienen clave, y una columna obligatoria sin valor por omisión no se puede agregar a una tabla con datos. La forma de acá deja el histórico intacto, el índice sólo mira las filas que traen clave, y el efecto anti-duplicado es el mismo. Es una mejora sobre el texto firmado, no una desviación que haya que documentar: el addendum autoriza altas, y esta columna sólo las hace más seguras. Como además es opcional, no cambia nada de lo firmado.

Script, listo para ejecutar. Repetir el bloque completo en Truly, TrulyNew y TrulyRuso:

USE [Truly];   -- luego [TrulyNew], luego [TrulyRuso]
GO
ALTER TABLE [dbo].[Clientes]   ADD [idempotency_key] UNIQUEIDENTIFIER NULL;
ALTER TABLE [dbo].[Contactos]  ADD [idempotency_key] UNIQUEIDENTIFIER NULL;
ALTER TABLE [dbo].[Servicios]  ADD [idempotency_key] UNIQUEIDENTIFIER NULL;
ALTER TABLE [dbo].[Propuestas] ADD [idempotency_key] UNIQUEIDENTIFIER NULL;
GO
CREATE UNIQUE NONCLUSTERED INDEX [UX_Clientes_idempotency_key]
  ON [dbo].[Clientes]   ([idempotency_key]) WHERE [idempotency_key] IS NOT NULL;
CREATE UNIQUE NONCLUSTERED INDEX [UX_Contactos_idempotency_key]
  ON [dbo].[Contactos]  ([idempotency_key]) WHERE [idempotency_key] IS NOT NULL;
CREATE UNIQUE NONCLUSTERED INDEX [UX_Servicios_idempotency_key]
  ON [dbo].[Servicios]  ([idempotency_key]) WHERE [idempotency_key] IS NOT NULL;
CREATE UNIQUE NONCLUSTERED INDEX [UX_Propuestas_idempotency_key]
  ON [dbo].[Propuestas] ([idempotency_key]) WHERE [idempotency_key] IS NOT NULL;
GO

Impacto medido. ALTER TABLE ADD de una columna nula es un cambio de metadatos: no reescribe las filas. Sobre Clientes de Truly son 464.278 filas y la operación es inmediata. Los cuatro índices se crean vacíos, porque ninguna fila existente tiene clave. Su aplicación no necesita conocer la columna: no aparece en ningún SELECT * de pantalla porque es nueva y nula.

Verificación. En cada base, tiene que devolver cuatro filas con is_nullable = 1 y cuatro índices has_filter = 1:

SELECT t.name AS tabla, c.name AS columna, c.is_nullable, ty.name AS tipo
FROM   sys.columns c
JOIN   sys.tables  t  ON t.object_id = c.object_id
JOIN   sys.types   ty ON ty.user_type_id = c.user_type_id
WHERE  c.name = 'idempotency_key'
ORDER BY t.name;

SELECT t.name AS tabla, i.name AS indice, i.is_unique, i.has_filter, i.filter_definition
FROM   sys.indexes i
JOIN   sys.tables  t ON t.object_id = i.object_id
WHERE  i.name LIKE 'UX_%_idempotency_key'
ORDER BY t.name;

Criterio de aceptación. Cuatro columnas y cuatro índices por base, doce y doce en total. Nosotros lo confirmamos porque la columna aparece en el catálogo que leemos cada noche.

Qué no hacer. No ponerla obligatoria. No crear el índice sin el filtro WHERE … IS NOT NULL: sin él, un solo valor nulo por tabla sería admitido y el resto rechazado. No agregarla a TrulyGestion.

Objetivo. Que el prospecto que escribimos se vea exactamente como los que inscribe su gente. Estas tres convenciones ya están decididas y en construcción: el 3 de septiembre leímos su catálogo y medimos cómo llenan los campos sobre los 1.268 prospectos de la oficina de Guatemala, y elegimos en consecuencia. Esta sección existe para que sepan exactamente qué vamos a escribir y por qué, con la consulta al lado para que puedan comprobarlo. No estamos esperando una respuesta. Si alguna de las tres no les cuadra, un correo y se cambia: es una constante del programa, cuesta un minuto.

-- comprueben lo anterior en un minuto
USE [Truly];
SELECT s.IdStatusCliente, s.StatusCliente_01 AS ingles, s.StatusCliente_02 AS espanol,
       COUNT(c.IdCliente) AS clientes_en_la_679
FROM   dbo.AuxStatusClientes s
LEFT   JOIN dbo.Clientes c ON c.IdStatusCliente = s.IdStatusCliente AND c.IdOficina = 679
GROUP  BY s.IdStatusCliente, s.StatusCliente_01, s.StatusCliente_02
ORDER  BY s.IdStatusCliente;

-- comprueben que la columna se llena siempre, y con qué
USE [Truly];
SELECT COUNT(*) AS prospectos,
       SUM(CASE WHEN LTRIM(RTRIM(ISNULL(Identidad,''))) = '' THEN 1 ELSE 0 END) AS sin_identidad
FROM   dbo.Clientes
WHERE  IdOficina = 679 AND IdStatusCliente = 5;

Cómo lo van a ver. Antes de escribir nada en firme les mostramos la primera alta de prueba con estos tres valores puestos, sobre un prospecto real de Guatemala. Ahí se ve el resultado, no la promesa.

Por qué no se lo preguntamos. Porque ya teníamos con qué decidirlo: su propia base. Devolverles una pregunta que nosotros podíamos contestar sería trasladarles trabajo y sumar una espera al proyecto. Lo único que de verdad no podemos hacer sin ustedes es escribir, y eso depende de R1, R2 y R3.

Objetivo. Una pestaña más en la barra donde hoy están «Home» y «Reports», a la derecha de ellas.

Va junto con R7 y, como aquélla, no bloquea nada ni tiene fecha comprometida.

Dónde. En la plantilla que dibuja esa barra. En la instalación actual la barra se arma en /proposals/TG/includes/inc_menu_superior.asp, que es el archivo que aparece en el error cuando una página se abre fuera de su flujo. Si la plantilla real es otra, es la que corresponda: el requisito es que la pestaña salga en todas las pantallas del sistema.

Qué entregamos nosotros. El icono del ratón de Truly Nolen en SVG y en PNG de 16 y 32 píxeles (el de 32 es para pantallas de alta densidad), y este fragmento, adaptable a los estilos de su barra:

<a class="tab" href="/proposals/TG/globallink.asp"   <!-- .aspx si la hacen en ASP.NET -->
   target="_blank" rel="noopener noreferrer">
  <img src="/proposals/TG/img/tn-globallink.png" width="16" height="16" alt="" />
  Truly Nolen GlobalLink &#8599;
</a>

Las dos rutas van absolutas, y esto importa. Este fragmento vive en un archivo que se incluye desde todas las pantallas del sistema. Una ruta relativa se resuelve contra la dirección de la pantalla que la pide, no contra la del archivo incluido: desde /proposals/TG/reports/… el enlace apuntaría a /proposals/TG/reports/globallink.asp, que no existe, y el icono no cargaría. Con la barra inicial funciona igual desde cualquier pantalla. Si su instalación cuelga de otra carpeta, es esa ruta con barra inicial.

Reglas. La pestaña apunta a la página de R7, dentro de su propio sitio, nunca directamente a GlobalLink. Se abre en una pestaña nueva, para que la persona no pierda lo que estaba haciendo. La flecha avisa que sale del sistema.

Quién la ve. Ésta sí es decisión suya, porque es su menú y su gente. Nuestra recomendación, si no quieren pensarlo: los mismos perfiles que hoy ven el módulo de ventas. Si prefieren empezar sólo con Guatemala, basta condicionar la pestaña a IdPais = 244 mientras dure el piloto.

Criterio de aceptación. Con el usuario de prueba que ya tenemos, la pestaña aparece y abre la página de R7.

Objetivo. Que un empleado que ya inició sesión en el sistema de gestión llegue a GlobalLink identificado, sin escribir otra contraseña. Junto con la pestaña de R6, es el único desarrollo nuevo del lado de TNI: una tabla y una página.

Esto no bloquea nada, y no hay fecha comprometida. Mientras la página no exista, cada persona entra a GlobalLink con su usuario y contraseña, que es como se entra hoy. Lo que aporta es la comodidad de un clic y que nadie tenga que recordar una segunda contraseña. Lo describimos con este nivel de detalle —el código completo, en las dos tecnologías de su portal— justamente para que cuando su equipo tenga el hueco, sean dos o tres horas y no un proyecto.

El método elegido: credencial de un solo uso. La página genera un número aleatorio, lo guarda en una tabla junto con el número de empleado y una caducidad de dos minutos, y lo envía a GlobalLink. GlobalLink lo busca en esa misma tabla con el usuario de lectura que ya tiene, comprueba que siga vigente y que no se haya usado antes, y abre la sesión. Sin criptografía, sin librerías, sin llaves, sin permisos nuevos.

Lo elegimos por tres razones: funciona igual en ASP clásico y en ASP.NET, y su portal tiene las dos cosas; no obliga a su equipo a manejar llaves ni rotaciones; y no requiere que nos den ningún permiso adicional, porque nuestro usuario lector ya puede leer cualquier tabla de la base. Si prefieren un token firmado, las dos variantes están al final de este requerimiento.

Paso 1 · Crear la tabla

Dónde. En las tres bases productivas: Truly, TrulyNew y TrulyRuso. Si su portal usa una sola base para todos los países, créenla sólo ahí y avísennos cuál es.

Qué se crea. Una tabla y un índice. Ninguna otra cosa.

USE [Truly];   -- después repetir igual en [TrulyNew] y en [TrulyRuso]
GO
CREATE TABLE [dbo].[GlobalLinkAccesos] (
    [Token]      UNIQUEIDENTIFIER NOT NULL CONSTRAINT [DF_GLA_Token]  DEFAULT NEWID(),
    [IdEmpleado] INT              NOT NULL,
    [Correo]     NVARCHAR(100)    NULL,
    [IdIdioma]   INT              NULL,
    [Creado]     DATETIME2(0)     NOT NULL CONSTRAINT [DF_GLA_Creado] DEFAULT SYSUTCDATETIME(),
    [Vence]      DATETIME2(0)     NOT NULL,
    [Origen]     NVARCHAR(45)     NULL,
    CONSTRAINT [PK_GlobalLinkAccesos] PRIMARY KEY CLUSTERED ([Token])
);
GO
CREATE NONCLUSTERED INDEX [IX_GlobalLinkAccesos_Vence]
    ON [dbo].[GlobalLinkAccesos] ([Vence]);
GO

Verificación del paso 1. Tiene que devolver siete filas, una por columna:

SELECT c.name AS columna, t.name AS tipo, c.max_length, c.is_nullable
FROM   sys.columns c
JOIN   sys.types   t ON t.user_type_id = c.user_type_id
WHERE  c.object_id = OBJECT_ID('dbo.GlobalLinkAccesos')
ORDER  BY c.column_id;

Cuánto ocupa. Una fila por acceso, unos 60 bytes. Con 2.018 empleados entrando dos veces por día son unas 4.000 filas diarias, que la propia página va borrando. La tabla nunca pasa de unos pocos megabytes.

Paso 2 · Darle permiso de escritura al usuario del portal

Qué usuario es. El que ya usa el sistema de gestión para leer y escribir en la base: el que figura en la cadena de conexión del portal. No es el nuestro. Si no saben cuál es, esta consulta lo muestra mientras alguien navega el sistema:

SELECT DISTINCT s.login_name, s.program_name, DB_NAME(s.database_id) AS base
FROM   sys.dm_exec_sessions s
WHERE  s.is_user_process = 1 AND DB_NAME(s.database_id) IN ('Truly','TrulyNew','TrulyRuso');

El permiso. Sólo sobre la tabla nueva: insertar, leer y borrar. No hace falta modificar. El SELECT es imprescindible aunque la página no consulte nada, porque el INSERT usa OUTPUT INSERTED.Token para recuperar la credencial recién creada, y sin permiso de lectura sobre esa tabla el motor rechaza la cláusula:

GRANT INSERT, SELECT, DELETE ON [dbo].[GlobalLinkAccesos] TO [<el usuario del portal>];
GO

Verificación del paso 2. Ejecutar conectado como ese usuario; tiene que insertar y devolver un identificador:

INSERT INTO dbo.GlobalLinkAccesos (IdEmpleado, Vence)
OUTPUT INSERTED.Token
VALUES (22059, DATEADD(minute, 2, SYSUTCDATETIME()));
-- borrar la fila de prueba
DELETE FROM dbo.GlobalLinkAccesos WHERE IdEmpleado = 22059;

Sobre nuestro lado: no hace falta darnos nada. Nuestro usuario user_globallink pertenece al rol db_datareader y tiene permiso de consulta a nivel de base de datos, verificado el 3 de septiembre de 2026. Ese permiso alcanza automáticamente a cualquier tabla nueva.

Paso 3 · Averiguar dos cosas de su sistema

La página necesita dos datos que sólo su equipo conoce. Este paso no es programar: es abrir el código del portal y anotarlos.

3a · Cómo identifica el sistema al empleado que tiene la sesión abierta. En la cabecera de cada pantalla aparece el nombre de la persona, por ejemplo «PABLO ESTRADA». Ese texto sale de una variable de sesión. Búsquenla en el archivo que dibuja esa cabecera, que en la instalación actual es /proposals/TG/includes/inc_menu_superior.asp, o en la página de inicio de sesión, buscando Session(. Puede llamarse Session("IdEmpleado"), Session("Usuario") u otra cosa.

Los dos casos posibles, y qué hacer en cada uno:

3b · La cadena de conexión que usa el portal. En ASP clásico suele estar en un Application("…") definido en global.asa, o en un archivo de configuración incluido en todas las páginas. En ASP.NET está en web.config, dentro de connectionStrings. La página nueva usa exactamente la misma; no se crea ninguna conexión nueva ni se guarda ninguna contraseña más.

Paso 4 · Crear la página

Dónde. En la misma carpeta que el resto del sistema, con el nombre globallink.asp si la hacen en ASP clásico, o globallink.aspx si la hacen en ASP.NET. No hace falta cambiar ninguna configuración de IIS: es una página más de la aplicación que ya existe.

Versión ASP clásico. Completa. Las dos líneas con la flecha son las únicas que hay que ajustar con lo que anotaron en el paso 3:

<%@ Language="VBScript" %>
<%
Option Explicit
Response.Buffer = True
Response.AddHeader "Cache-Control", "no-store"
Response.AddHeader "Referrer-Policy", "no-referrer"

Dim usuario, idEmpleado, cn, cmd, rs, token

' ►►► AJUSTAR (paso 3a): la variable de sesión que ya usa el sistema.
'     Si guardan el número de empleado, usen esa y salten el bloque de conversión.
usuario = Session("Usuario")

If IsEmpty(usuario) Or usuario = "" Then
    Response.Redirect "login.asp"
End If

Set cn = Server.CreateObject("ADODB.Connection")
' ►►► AJUSTAR (paso 3b): la misma cadena de conexión que usa el resto del sistema
cn.Open Application("ConnectionString")

' ── conversión de nombre de usuario a número de empleado ────────────────
'    Si la sesión ya trae el número, borren este bloque y hagan:
'    idEmpleado = Session("IdEmpleado")
Set cmd = Server.CreateObject("ADODB.Command")
Set cmd.ActiveConnection = cn
cmd.CommandText = "SELECT IdEmpleado FROM dbo.Empleados " & _
                  "WHERE Usuario = ? AND FechaBaja IS NULL"
cmd.Parameters.Append cmd.CreateParameter("u", 200, 1, 50, usuario)   ' adVarWChar
Set rs = cmd.Execute

If rs.EOF Then
    rs.Close : cn.Close
    Response.Write "<p>Su usuario no tiene un empleado activo asociado. " & _
                   "Avise a la administración de TNI.</p>"
    Response.End
End If

idEmpleado = rs("IdEmpleado")
rs.Close : Set rs = Nothing : Set cmd = Nothing

' ── limpieza de credenciales viejas · no falla si no hay ninguna ────────
cn.Execute "DELETE FROM dbo.GlobalLinkAccesos " & _
           "WHERE Vence < DATEADD(day, -1, SYSUTCDATETIME())"

' ── generar la credencial ───────────────────────────────────────────────
Set cmd = Server.CreateObject("ADODB.Command")
Set cmd.ActiveConnection = cn
cmd.CommandType = 1                                        ' adCmdText
cmd.CommandText = "SET NOCOUNT ON; " & _
                  "INSERT INTO dbo.GlobalLinkAccesos (IdEmpleado, Vence, Origen) " & _
                  "OUTPUT INSERTED.Token " & _
                  "VALUES (?, DATEADD(minute, 2, SYSUTCDATETIME()), ?)"
cmd.Parameters.Append cmd.CreateParameter("id", 3, 1, 4, CLng(idEmpleado))          ' adInteger
cmd.Parameters.Append cmd.CreateParameter("ip", 200, 1, 45, _
                                          Request.ServerVariables("REMOTE_ADDR"))  ' adVarWChar

Set rs = cmd.Execute
token = rs("Token")

rs.Close : Set rs = Nothing : Set cmd = Nothing
cn.Close : Set cn = Nothing
%>
<!doctype html>
<html><head><meta charset="utf-8"><title>Entrando a Truly Nolen GlobalLink…</title></head>
<body style="font-family:Arial,Helvetica,sans-serif;padding:40px;color:#333">
  <p>Entrando a Truly Nolen GlobalLink…</p>
  <form id="f" method="post"
        action="https://app.trulynolen.tech/globalink/auth/exchange">
    <input type="hidden" name="credencial" value="<%= token %>" />
    <noscript><button type="submit">Continuar</button></noscript>
  </form>
  <script>document.getElementById('f').submit();</script>
</body></html>

Versión ASP.NET. Mismo comportamiento. Archivo globallink.aspx.cs:

using System;
using System.Configuration;
using System.Data;
using System.Data.SqlClient;

public partial class GlobalLink : System.Web.UI.Page
{
    protected string Token = "";

    protected void Page_Load(object sender, EventArgs e)
    {
        Response.AppendHeader("Cache-Control", "no-store");
        Response.AddHeader("Referrer-Policy", "no-referrer");

        // ►►► AJUSTAR (paso 3a)
        object usuario = Session["Usuario"];
        if (usuario == null || string.IsNullOrEmpty(usuario.ToString()))
        { Response.Redirect("~/login.asp"); return; }

        // ►►► AJUSTAR (paso 3b)
        string cs = ConfigurationManager.ConnectionStrings["Truly"].ConnectionString;

        using (var cn = new SqlConnection(cs))
        {
            cn.Open();

            int idEmpleado;
            using (var q = new SqlCommand(
                "SELECT IdEmpleado FROM dbo.Empleados WHERE Usuario = @u AND FechaBaja IS NULL", cn))
            {
                q.Parameters.Add("@u", SqlDbType.NVarChar, 50).Value = usuario.ToString();
                object r = q.ExecuteScalar();
                if (r == null)
                { Response.Write("Su usuario no tiene un empleado activo asociado."); Response.End(); return; }
                idEmpleado = Convert.ToInt32(r);
            }

            using (var limpia = new SqlCommand(
                "DELETE FROM dbo.GlobalLinkAccesos WHERE Vence < DATEADD(day, -1, SYSUTCDATETIME())", cn))
                limpia.ExecuteNonQuery();

            using (var ins = new SqlCommand(
                "INSERT INTO dbo.GlobalLinkAccesos (IdEmpleado, Vence, Origen) " +
                "OUTPUT INSERTED.Token " +
                "VALUES (@id, DATEADD(minute, 2, SYSUTCDATETIME()), @ip)", cn))
            {
                ins.Parameters.Add("@id", SqlDbType.Int).Value = idEmpleado;
                ins.Parameters.Add("@ip", SqlDbType.NVarChar, 45).Value =
                    (object)Request.UserHostAddress ?? DBNull.Value;
                Token = ((Guid)ins.ExecuteScalar()).ToString();
            }
        }
    }
}

Y el globallink.aspx que lo acompaña. Va con CodeFile, que es lo que corresponde cuando se sueltan los dos archivos en la carpeta sin recompilar nada. Si su portal se compila a una DLL (un Web Application Project), cambien CodeFile por CodeBehind y recompilen; con el atributo equivocado el servidor responde Could not load type 'GlobalLink':

<%@ Page Language="C#" AutoEventWireup="true"
         CodeFile="globallink.aspx.cs" Inherits="GlobalLink" %>
<!doctype html>
<html><head><meta charset="utf-8"><title>Entrando a Truly Nolen GlobalLink…</title></head>
<body style="font-family:Arial,Helvetica,sans-serif;padding:40px;color:#333">
  <p>Entrando a Truly Nolen GlobalLink…</p>
  <form id="f" method="post"
        action="https://app.trulynolen.tech/globalink/auth/exchange">
    <input type="hidden" name="credencial" value="<%= Token %>" />
    <noscript><button type="submit">Continuar</button></noscript>
  </form>
  <script>document.getElementById('f').submit();</script>
</body></html>

Paso 5 · Probar la página sola, antes de conectarla

Este paso se hace sin nosotros y sin salir de su red. Sirve para confirmar que la sesión y la conexión funcionan antes de involucrar a GlobalLink.

1. Cambiar el destino del formulario, de forma temporal

   Reemplacen la línea action="https://app.trulynolen.tech/…" por action="globallink.asp" y agreguen debajo del formulario, también temporal: <p>Credencial generada: <%= token %></p> (en la versión ASP.NET, <%= Token %>). Quiten el <script> que envía solo, para poder ver la pantalla.

2. Entrar al sistema con un usuario real y abrir la página

   Con una sesión iniciada, ir a /proposals/TG/globallink.asp. Tiene que aparecer la credencial en pantalla, con forma de 3f2504e0-4f89-41d3-9a0c-0305e82c3301.

3. Comprobar que la fila quedó bien

   En la base, esta consulta tiene que devolver la fila recién creada, con el número de empleado correcto y una caducidad dos minutos en el futuro:

   SELECT TOP 5 a.Token, a.IdEmpleado, e.Nombre, e.Apellido,
          a.Creado, a.Vence, a.Origen
   FROM   dbo.GlobalLinkAccesos a
   JOIN   dbo.Empleados e ON e.IdEmpleado = a.IdEmpleado
   ORDER  BY a.Creado DESC;

4. Volver a dejar la página como estaba

   Restaurar el destino real, quitar la línea que muestra la credencial y devolver el <script>. Importante: la credencial no debe quedar visible en pantalla en la versión definitiva.

Paso 6 · Conectar con GlobalLink, primero contra pruebas

Nos avisan y les habilitamos una dirección de pruebas. Cambian el destino del formulario por esa dirección y abren la página con una sesión real. La respuesta es una pantalla en texto claro que dice qué comprobación pasó y cuál falló, con este formato:

1 · credencial bien formada .......... sí
2 · encontrada en la base de TNI ..... sí   (base: Truly)
3 · vigente .......................... sí   (vence en 108 segundos)
4 · no usada antes ................... sí
5 · dentro del tope de 5 minutos ..... sí   (creada hace 12 segundos)
6 · empleado activo .................. sí   (IdEmpleado 22059)
7 · país habilitado .................. sí   (IdPais 244 → Guatemala)
8 · oficina habilitada ............... sí   (IdOficina 679)
9 · cargo con rol asignado ........... sí   (IdCargo 8 → vendedor)
RESULTADO ............................ acceso concedido

Son las nueve comprobaciones que su equipo puede reproducir con una credencial de prueba. Las dos últimas de la sección 8.4 no aparecen en el informe porque sólo se ven con una cuenta real: la 10 crea o actualiza la cuenta —y rechaza con cuenta_desactivada si estaba dada de baja de nuestro lado— y la 11 abre la sesión. Cuando las nueve líneas den «sí», cambian el destino por la dirección definitiva y quedó. Nosotros confirmamos del otro lado que la sesión abrió con el usuario correcto.

Paso 7 · Agregar la pestaña

Es el requerimiento R6: una entrada más en la barra de menú que apunte a la página del paso 4, con la extensión que corresponda a la tecnología que hayan elegido. Con eso el circuito queda cerrado para el usuario final.

Si algo falla · qué significa cada error

Preguntas que suelen aparecer

Lista de verificación de R7

Criterio de aceptación de R7. Un empleado real de Guatemala hace clic en la pestaña y llega a GlobalLink con su nombre, su oficina y su rol, sin escribir contraseña. Y un segundo envío de la misma credencial es rechazado.

Qué no hacer. No poner la credencial en la dirección. No alargar la caducidad más allá de cinco minutos. No dejar la credencial visible en pantalla en la versión definitiva. No guardar la contraseña del empleado en ningún campo. No reutilizar una credencial ya enviada.

using System;
using System.Security.Cryptography;
using System.Text;

static string B64Url(byte[] b) =>
    Convert.ToBase64String(b).TrimEnd('=').Replace('+', '-').Replace('/', '_');

string CrearPase(int idEmpleado, int idPais, int idOficina, int idCargo,
                 string nombre, string email, string secreto)
{
    long ahora = DateTimeOffset.UtcNow.ToUnixTimeSeconds();
    string cabecera = "{\"alg\":\"HS256\",\"typ\":\"JWT\"}";
    string cuerpo =
        "{\"iss\":\"https://www.trulynoleninternational.com\"," +
        "\"aud\":\"tn-globallink\",\"sub\":\"" + idEmpleado + "\"," +
        "\"name\":\"" + nombre.Replace("\"", "") + "\"," +
        "\"email\":\"" + (email ?? "") + "\"," +
        "\"tni_id_pais\":" + idPais + ",\"tni_id_oficina\":" + idOficina +
        ",\"tni_id_cargo\":" + idCargo + "," +
        "\"iat\":" + ahora + ",\"nbf\":" + ahora + ",\"exp\":" + (ahora + 300) + "," +
        "\"jti\":\"" + Guid.NewGuid() + "\"}";
    string sinFirma = B64Url(Encoding.UTF8.GetBytes(cabecera)) + "." +
                      B64Url(Encoding.UTF8.GetBytes(cuerpo));
    using (var h = new HMACSHA256(Encoding.UTF8.GetBytes(secreto)))
        return sinFirma + "." + B64Url(h.ComputeHash(Encoding.UTF8.GetBytes(sinFirma)));
}

using Microsoft.IdentityModel.Tokens;      // NuGet: System.IdentityModel.Tokens.Jwt
using System.IdentityModel.Tokens.Jwt;

var rsa = new RSACryptoServiceProvider();
rsa.ImportParameters(llavePrivada);        // del almacén de certificados del servidor
var cred = new SigningCredentials(new RsaSecurityKey(rsa) { KeyId = "tni-2026-09" },
                                  SecurityAlgorithms.RsaSha256);
var token = new JwtSecurityToken(
    issuer:   "https://www.trulynoleninternational.com",
    audience: "tn-globallink",
    claims:   new[] {
        new Claim("sub", idEmpleado.ToString()),
        new Claim("name", nombre),
        new Claim("email", email ?? ""),
        new Claim("tni_id_pais",    idPais.ToString()),
        new Claim("tni_id_oficina", idOficina.ToString()),
        new Claim("tni_id_cargo",   idCargo.ToString()),
        new Claim("jti", Guid.NewGuid().ToString())
    },
    notBefore: DateTime.UtcNow,
    expires:   DateTime.UtcNow.AddMinutes(5),
    signingCredentials: cred);
string pase = new JwtSecurityTokenHandler().WriteToken(token);

Objetivo. Definir qué puede hacer en GlobalLink cada cargo de su tabla de empleados. Ya está definida y la vamos a cargar así: leímos su catálogo de 43 cargos del espejo con la cantidad de empleados activos de cada uno. Diez tienen gente, y son los que van en la tabla de abajo, cada uno con su rol asignado. Los otros 33 no tienen ningún empleado activo, así que quedan sin rol: el día que TNI le asigne alguien a uno de ellos, esa persona no entrará hasta que agreguemos la fila, que es una línea en una tabla nuestra. No hace falta que preparen nada ni que respondan. La publicamos acá porque es una decisión sobre permisos de su gente y ustedes tienen que poder verla y objetarla; si una fila no corresponde, un correo y se corrige.

Con esta propuesta entran 2.018 personas de la red —la suma de la columna «Activos» de las filas con rol— y quedan fuera los 2.667 técnicos de campo, que no usan un sistema de ventas. Los números salen de su propia tabla de empleados, contando sólo los que no tienen fecha de baja. Su catálogo tiene 43 cargos; los 33 que no aparecen acá no tienen ningún empleado activo.

Qué hacemos con esto. La cargamos tal cual en una tabla nuestra, app.tni_cargo_rol. Un cargo que no esté en la lista no entra: el acceso se rechaza con un mensaje claro y nunca se adivina un rol. Cambiar una fila después es una línea en esa tabla, sin desplegar nada.

Lo que sí les pedimos que miren. Dos filas, porque son decisiones de negocio y no técnicas: los 2.667 técnicos de campo, que dejamos fuera porque no usan un sistema de ventas, y los 71 «Otro», que quedan fuera por precaución. Si alguno de esos grupos debería entrar, dígannos y lo cambiamos.