LAPP - Proxy Provedor de Artefatos para PKI

O LAPP (Lacuna Artifact Provider Proxy) é um serviço operado pela Lacuna Software que baixa artefatos de PKI, listas de certificados revogados (LCRs, CRL) e certificados de AC, em nome do seu servidor. Quando o servidor não consegue acessar a URL indicada num certificado, porque um firewall a bloqueia, porque a rede não tem rota até ela ou porque o servidor da AC está instável, o PKI SDK pede o mesmo arquivo ao LAPP.

O LAPP não é um produto com que você se integra: basta ligar uma configuração no produto da Lacuna que você já usa, e o suporte da Lacuna autoriza a sua licença. Veja Habilitando o LAPP.

Quando usar o LAPP

Para validar um certificado ou uma assinatura, o PKI SDK precisa das LCRs de todas as ACs da cadeia de certificação e, quando falta um certificado de AC, do próprio certificado. Ele os baixa das URLs gravadas nos certificados (as extensões CRL Distribution Points e Authority Information Access). Essas URLs pertencem a muitas ACs diferentes, então é difícil liberá-las uma a uma no firewall, e algumas ficam fora do ar de tempos em tempos.

Habilite o LAPP quando:

• o firewall do servidor só libera o acesso de saída para uma lista curta de hosts, e liberar a URL de cada AC não é viável;
• as URLs das ACs são instáveis, e de vez em quando as validações falham com o status de revogação desconhecido;
• você quer uma segunda fonte de LCRs e certificados de AC, para quando o servidor da própria AC estiver fora do ar.

Com o LAPP, o firewall só precisa liberar um host, lapp-fx-brs.lacunasoftware.com (veja abaixo).

Como funciona

O LAPP é uma contingência (failover): o PKI SDK sempre tenta primeiro a URL da própria AC e só recorre ao LAPP quando ela falha.

1. O PKI SDK precisa de uma LCR ou de um certificado de AC e o baixa da URL indicada no certificado.
2. Se o download falhar, exceder o timeout ou, no caso de uma LCR, devolver uma que não é mais nova que a cópia que o SDK já tem, e o LAPP estiver habilitado, o SDK envia a mesma URL ao LAPP, junto com o ID e o nome do licenciado da sua licença do PKI SDK.
3. O LAPP verifica se a sua licença está autorizada (veja abaixo).
4. No caso de uma LCR, o LAPP devolve a cópia que guarda, se ela for recente o bastante. Caso contrário, baixa a LCR da URL original, a partir dos seus próprios servidores em paralelo, e devolve a primeira resposta válida. (Quando o SDK pede apenas "a LCR mais recente" de uma URL, o LAPP responde com as cópias que guarda.) No caso de um certificado de AC, baixa o arquivo da URL original da mesma forma.
5. O PKI SDK guarda em cache o que recebeu e continua a validação como se ele mesmo tivesse baixado o arquivo.

O LAPP também responde às outras buscas de contingência do PKI SDK: um certificado de AC pelo identificador da chave, pelo nome do titular ou pelo emissor e número de série, entre os certificados que ele já reuniu.

As LCRs ficam atualizadas no LAPP

Depois que um cliente pede uma LCR ao LAPP, ele passa a acompanhar aquele ponto de distribuição. A cada 3 minutos, verifica as LCRs que guarda e baixa a próxima quando já passou 80% da validade da LCR atual, então a cópia que ele entrega costuma ser mais nova que a que o seu servidor obteria sozinho. LCRs de ACs expiradas deixam de ser atualizadas.

O que o LAPP não faz

• O LAPP só entrega LCRs e certificados de AC. As demais chamadas de saída da sua aplicação, como pedidos de carimbo de tempo ou chamadas aos serviços em nuvem da Lacuna, não passam por ele.
• O LAPP não muda a forma como um certificado é validado: o PKI SDK verifica a LCR e o certificado de AC que recebe do LAPP exatamente como verificaria os que ele mesmo baixa.
• O LAPP não substitui um proxy: se o servidor acessa a internet por um (PkiConfig.WebProxy no PKI SDK, as configurações de proxy no PKI Express), mantenha-o configurado; as requisições ao LAPP também passam por ele.

Requisitos

Acesso de rede

O servidor que executa o PKI SDK precisa de acesso de saída a:

Host	Protocolo e porta	Usado para
lapp-fx-brs.lacunasoftware.com	HTTP, TCP 80	Todas as requisições ao LAPP (POST /api/crls/... e POST /api/certificates/...)

O PKI SDK chama o LAPP por HTTP simples, como a maioria das URLs de LCRs e de certificados de AC. As requisições trazem a URL procurada e o ID e o nome do licenciado da sua licença; as respostas são LCRs e certificados de AC, que são públicos e assinados pelas suas ACs.

Uma licença autorizada

O LAPP só responde a requisições de licenças do PKI SDK que a Lacuna Software autorizou. Ligar a configuração não basta: também entre em contato com o suporte e peça que autorizem o LAPP para a sua licença. Tenha em mãos o nome do licenciado da sua licença.

Requisições de uma licença não autorizada recebem 422 Unprocessable Entity, e o PKI SDK segue sem o arquivo. Veja Solução de problemas.

Verifique se o servidor acessa o LAPP

No servidor, chame a rota de status do LAPP. Ela não exige licença:

curl http://lapp-fx-brs.lacunasoftware.com/api/system/info

A resposta traz o nome do serviço, a versão e a data e hora atuais:

{"name":"Lacuna.Lapp.Function","version":"0.5.0.0","timestamp":"2026-10-22T20:03:17.0336594+00:00"}

Se a chamada falhar, o firewall ou o proxy está bloqueando o host. No Windows, use curl.exe no PowerShell ou abra a URL num navegador no servidor.

Próximos passos

• Habilitando o LAPP no PKI SDK, no PKI Express, no Rest PKI, no Rest PKI Core, no Signer e nos demais servidores on-premises.
• Solução de problemas de validações que continuam falhando com o LAPP habilitado.