PostgreSQL
Autenticación de clientes con pg_hba.conf, métodos de contraseña, certificados y TLS, incluyendo orden de reglas y separación entre autenticación y autorización.
Autenticar una conexión responde tres preguntas: desde dónde llega, qué identidad presenta y mediante qué método se valida. TLS protege el canal; no reemplaza roles ni permisos.
El flujo de conexión es:
cliente → red/TLS → pg_hba.conf → método de autenticación → role → permisos/RLSpg_hba.conf decide qué combinaciones de database, role y origen pueden intentar autenticarse.
hostssl appdb app_runtime 10.0.0.0/8 scram-sha-256Columnas:
Las reglas se evalúan en orden; la primera coincidencia decide.
Preferido para passwords modernos. Configura:
SET password_encryption = 'scram-sha-256';y rota passwords antiguos.
Autenticación mediante certificado cliente. Útil para identidades de máquina con PKI operada correctamente.
En conexiones locales, compara usuario del sistema operativo.
No exige autenticación. Solo es aceptable en entornos locales muy controlados; no en redes productivas.
Método legado. Planifica migración a SCRAM.
hostssl exige TLS. Verifica:
En clientes:
sslmode=verify-fulles la garantía fuerte: cifra y verifica identidad/hostname. require cifra, pero puede no validar adecuadamente al servidor.
El password nunca debe aparecer en logs ni URLs mostradas.
Cambios en pg_hba.conf suelen requerir reload:
SELECT pg_reload_conf();Errores de sintaxis pueden consultarse en views/versiones compatibles como pg_hba_file_rules. Prueba una sesión nueva antes de cerrar la administrativa.
Reglas con nombres pueden depender de resolución y reverse DNS. Para infraestructura crítica, entiende latencia y comportamiento; CIDRs suelen ser más previsibles.
Managed services pueden ocultar pg_hba.conf y ofrecer allowlists, IAM auth o proxies. El modelo sigue siendo:
control de red + identidad + cifrado + privilegiosNo asumas que “es privado” elimina TLS.
Mapeo con pg_ident.conf puede relacionar identidad externa y role. Necesita lifecycle de certificados, revocación y protección de keys.
Errores comunes:
no pg_hba.conf entry: ninguna regla coincide o se exige SSL/no SSL distinto.password authentication failed: role/password/método.Diagnostica por capas; no cambies a trust para “probar”.
listen_addresses solo donde corresponda.connection_limit por role cuando aporte.0.0.0.0/0 con password débil.sslmode=require tratado como verificación completa.SQL injection y consultas parametrizadas separa datos no confiables de la estructura ejecutable.