Cómo hacer que una función Lambda responda desde una dirección web, sin montar nada más

Imagina un pequeño programa que solo quieres que se ejecute cuando alguien lo llama: recibir el aviso de que un cliente ha pagado, procesar un formulario de contacto, convertir una imagen. No quieres un servidor encendido las 24 horas para eso. Para eso existe Lambda: le das tu código a Amazon, y Amazon lo ejecuta solo cuando hace falta y te cobra solo por ese rato. Nada de máquinas que mantener.

La pregunta es: ¿cómo lo llamas? Lo más universal es darle una dirección web, una URL como https://algo.on.aws/, de forma que cualquier navegador o programa pueda "abrirla" y tu código responda. Esta guía hace exactamente eso con la opción que trae Lambda de serie, llamada URL de función. No hay que instalar ni contratar nada más.

Paso a paso

1. Comprueba que tu función sabe contestar a una petición web

   Cuando se llama a la función por su dirección web, Lambda le entrega un paquete de datos con la petición (qué pedía, con qué datos) y espera que tu código devuelva una respuesta con dos cosas: un código de estado (200 quiere decir "todo bien") y un cuerpo (el texto o los datos que devuelves). Si tu función fue hecha para otro uso, hay que adaptarla. Un ejemplo mínimo, en Node.js, que responde "hola, mundo":

   export const handler = async (event) => ({
     statusCode: 200,
     headers: { "Content-Type": "application/json" },
     body: JSON.stringify({ hola: "mundo" })
   });

   Si no programas tú, pásale este párrafo a quien lo haga: sabrá qué significa.

2. Decide quién va a poder llamar a la función

   Es la única decisión importante de la guía, y conviene entenderla bien. Hay dos opciones:

   • Solo con credenciales de AWS (la opción se llama AWS_IAM): solo podrá llamarla un programa tuyo que tenga permisos en tu cuenta de Amazon. Es la más segura, pero un navegador normal o un servicio externo no podrán usarla.
   • Abierta (la opción se llama NONE): cualquiera que conozca la dirección podrá llamarla. Es lo que necesitas si la va a llamar un servicio externo (un webhook) o una página web. A cambio, la seguridad la tiene que poner tu código: comprobar una contraseña o una firma en cada llamada. Lo vemos en el último paso.

   Regla sencilla: si no sabes cuál elegir, elige la primera. Si la función tiene que recibir llamadas de fuera de tu cuenta, elige la segunda y no te saltes el último paso.

3. Activa la dirección web

   En la consola de AWS entra en Lambda, abre tu función y pulsa la pestaña Configuración. En el menú de la izquierda elige URL de función y pulsa Crear URL de función. Elige el tipo de acceso del paso anterior.

   Si la va a llamar una página web tuya desde otro dominio, despliega CORS y escribe la dirección de esa página en "Permitir origen" (por ejemplo https://miweb.com). Si pones un asterisco, cualquier web del mundo podrá llamarla desde el navegador; evítalo salvo que sea lo que quieres. Guarda. Arriba aparece la dirección nueva, con esta pinta: https://xxxxxxxx.lambda-url.eu-west-1.on.aws/. Esa es tu URL.

4. Pruébala

   Si elegiste la opción abierta, copia la dirección y pégala en el navegador: deberías ver la respuesta de tu función (en el ejemplo, el texto "hola, mundo"). Ya está funcionando.

   Si prefieres probarla desde una terminal, en CloudShell (el icono de terminal en la barra superior de la consola de AWS) escribe:

   curl -i https://xxxxxxxx.lambda-url.eu-west-1.on.aws/

   Si elegiste la opción con credenciales, el navegador dirá "Forbidden": es lo esperado, porque no lleva credenciales. La prueba la tendrá que hacer el programa tuyo que la vaya a llamar, usando las bibliotecas de AWS, que ya saben firmar las peticiones.

5. Mira el diario de ejecuciones

   Pestaña Monitorizar, botón Ver registros de CloudWatch. Cada llamada deja una anotación con lo que tardó y lo que tu código haya escrito. Si una llamada devuelve un error, aquí verás el motivo. Un consejo que ahorra dinero: en ese grupo de registros, pon una retención de, por ejemplo, 30 días; si no, los registros se guardan para siempre y se cobran.

6. Si la dejaste abierta, protégela

   Abierta quiere decir que cualquiera puede llamarla, así que tu código debe comprobar algo en cada llamada. Lo normal: el servicio que te envía el webhook incluye una firma o una clave secreta en cada aviso, y tu función comprueba que es correcta antes de hacer nada. Esa clave guárdala en las variables de entorno de la función (pestaña Configuración), no escrita en el código.

   Y pon un tope a cuántas veces puede ejecutarse a la vez (concurrencia reservada, en Configuración): si alguien bombardea la dirección, el tope evita que la factura se dispare.

Qué puede salir mal