Integraciones de socios para Devin Outposts

​

Requisitos previos

• Lista de permitidos de callback. Todos los callback_url que uses deben estar en la lista de permitidos de Devin para tu integración. Cognition se encarga de configurarlo; envíanos las URL exactas con antelación. Cualquier URL que no esté en la lista será rechazada.
• Outposts habilitado. La cuenta del cliente debe tener Outposts habilitado.
• Autorización de Admin. Para autorizar una conexión, se necesita un Admin de Devin con permisos de enterprise-settings y de gestión de usuario de servicio. El socio nunca necesita un token de Devin: el Admin lo autoriza desde su propia sesión del navegador.

​

Resumen del flujo

Partner backend                 Admin's browser                 Devin
     │                                │                            │
     │ 1. gen code_verifier,          │                            │
     │    derive code_challenge       │                            │
     │ 2. redirect to app.devin.ai/outposts/connect?…code_challenge│
     │───────────────────────────────>                            │
     │                                │ 3. admin confirms, "Connect"│
     │                                │──────confirm connection──────>
     │                                │ 4. redirect callback_url?code=…  │
     │<───────────────────────────────                            │
     │ 5. POST /outposts/connection-token  (code + code_verifier) │
     │────────────────────────────────────────────────────────────>
     │ 6. { access_token, api_base_url, … }                       │
     │<────────────────────────────────────────────────────────────
     │ 7. run outpost workers with access_token                   │

​

1. Genera un verificador y un desafío de PKCE

• Genera un code_verifier aleatorio y de alta entropía: de 43 a 128 caracteres del alfabeto no reservado [A-Za-z0-9-._~] (p. ej., base64url(random 32 bytes) sin relleno).
• Deriva el code_challenge como el valor base64url sin relleno del SHA-256 del verificador (PKCE “S256”):

import base64, hashlib, secrets

code_verifier = secrets.token_urlsafe(32)  # 43+ caracteres, alfabeto no reservado
code_challenge = (
    base64.urlsafe_b64encode(hashlib.sha256(code_verifier.encode()).digest())
    .rstrip(b"=")
    .decode()
)

​

2. Redirige al Admin a la página de conexión

https://app.devin.ai/outposts/connect
  ?callback_url=https://partner.example.com/devin/outpost-callback
  &outpost_name=my-outpost
  &outpost_image=https://partner.example.com/logo.png
  &platform=linux
  &code_challenge=<code_challenge>

​

3. Admin confirma

​

4. Devin redirige el código a tu URL de callback

https://partner.example.com/devin/outpost-callback?code=<one-time code>

​

5. Intercambia el código entre servidores

curl -X POST "https://api.devin.ai/outposts/connection-token" \
  -H "Content-Type: application/x-www-form-urlencoded" \
  --data-urlencode "grant_type=authorization_code" \
  --data-urlencode "code=<one-time code>" \
  --data-urlencode "code_verifier=<code_verifier>"

​

6. Recibir las credenciales

{
  "outpost_id": "...",
  "account_id": "...",
  "outpost_name": "my-outpost",
  "service_user_id": "...",
  "api_base_url": "https://api.devin.ai",
  "access_token": "cog_...",
  "token_type": "bearer"
}

​

7. Ejecuta workers de outpost

​

Manejo de errores

{
  "error": "invalid_grant",
  "error_description": "Invalid or expired connection code"
}

​

Notas de seguridad

• El token nunca pasa por el navegador. Solo se retransmite el código de un solo uso mediante la redirección; el token del usuario de servicio se devuelve únicamente en el intercambio entre servidores.
• PKCE vincula el código con tu backend. El código es inútil sin el code_verifier, que solo está en tu backend, así que interceptar la redirección (o el código) no basta para canjearlo.
• Los códigos son de un solo uso y caducan pronto. El canje consume el código de forma atómica; además, caduca a los 10 minutos.
• Las URL de callback están en la lista de permitidos. Devin solo retransmite un código a una callback_url que Cognition haya aprobado previamente para tu integración.
• Verifica que el código corresponda al usuario solicitante. Confirma que el código devuelto a tu callback pertenece al mismo usuario que solicitó originalmente la conexión. Esto evita que un atacante engañe a un usuario para que, sin darse cuenta, vincule Devin a un sandbox controlado por el atacante.
• Mantén outpost_name razonable. El Admin puede anularlo; el nombre que pases es solo una sugerencia.