Verbindungen schützen
Wo du Tokens und Schlüssel aufbewahrst, wie du sie ersetzt, was zu tun ist, wenn einer in falsche Hände gerät, und wie du eine Sicherheitslücke meldest.
Auf dieser Seite
Wo du Tokens und Schlüssel aufbewahrst
Bewahre Tokens, URLs und Signaturschlüssel in einem Secret-Store oder einer Umgebungsvariable auf, nie in Notizen, Chats oder Quellcode. Wer eines davon hat, bekommt, was es erlaubt.
Was die einzelnen Zugangsdaten erlauben
| Zugangsdaten | Gewährt | Ersetzen mit |
|---|---|---|
Ein Token (tp_…) | Alles, was die Stufe der Verbindung erlaubt | Token ersetzen… |
| Eine URL, die Notizen aus einer anderen App hinzufügt | Hinzufügen von Notizen zu ihrem einen Thread | URL ersetzen… |
Ein Signaturschlüssel (whsec_…) | Anfragen signieren, die aussehen, als kämen sie von ThreadPage | Signaturschlüssel ersetzen… |
| Die Anmeldung einer App oder eines Coding-Agenten | Alles, was ihre Stufe erlaubt | Trennen…, dann erneut verbinden |
| Der API-Schlüssel eines KI-Modells | Antworten, die deinem Konto beim Anbieter berechnet werden | Schlüssel ersetzen… und den alten Schlüssel beim Anbieter widerrufen |
Ein Token ersetzen
Token ersetzen… wirkt sofort: Das alte Token funktioniert ab diesem Moment nicht mehr, und die Notiz-Update-URLs, die es hinzugefügt hat, werden pausiert, bis du sie fortsetzt. Deine Integration steht also still, bis das neue Token in ihrem Secret-Store liegt. Lege es dort in einem Schritt ab und prüfe dann, ob das Token funktioniert.
Damit ein Token über seine Laufzeit hinaus funktioniert, ohne es zu ersetzen, wähle Verlängern: dasselbe Token, eine neue Laufzeit. Die Details der Verbindung zeigen, wann ihr Token abläuft.
Wenn etwas in falsche Hände gerät
- Ein Token: wähle Token ersetzen…. Letzte Aktivität in den Details der Verbindung zeigt, was das Token gelesen und geändert hat. Prüfe seine Notiz-Updates und lösche URLs, die du nicht kennst.
- Eine URL, die Notizen hinzufügt: wähle URL ersetzen…. Die alte funktioniert sofort nicht mehr.
- Der Signaturschlüssel eines Webhooks (
whsec_…): wähle Schlüssel ersetzen… und trage den neuen Schlüssel sofort in deinen Workflow ein: Mit dem abgeflossenen Schlüssel gefälschte Anfragen bestehen deine Prüfung dann nicht mehr, und die eigenen Anfragen von ThreadPage tragen bereits die neue Signatur. - Ein API-Schlüssel: widerrufe ihn beim Anbieter und wähle Schlüssel ersetzen….
- Im Zweifel: Trennen… stoppt die Verbindung und alles, was sie nutzt, sofort.
Änderungen rückgängig machen… in den Details der Verbindung macht rückgängig, was sie geändert hat, und Aus dem Papierkorb wiederherstellen… holt zurück, was sie in den Papierkorb verschoben hat.
Nicht vertrauenswürdiger Text in Notizen
Notizen von Diensten, Assistenten und Personen, mit denen du teilst, können Text enthalten, der einen Assistenten in die Irre führen soll. ThreadPage kennzeichnet, wer jede Notiz geschrieben hat, und weist Assistenten an, Notiztext als Information zu behandeln, nie als Anweisung.
Was Verbindungen nie können
Keine Verbindung kann endgültig löschen, teilen, Notizen mit @ senden, Entwürfe oder private Wiederherstellungsversionen lesen, exportieren oder importieren oder dein Konto, deinen Tarif, deine Verbindungen oder Benachrichtigungseinstellungen ändern.
Dein Passwort und Verbindungen
Wenn du dein Passwort änderst oder zurücksetzt, funktioniert das Token keiner Verbindung mehr. Verbinde Apps und Coding-Agenten erneut und erstelle neue Tokens für Skripte und Workflows.
Eine Sicherheitslücke melden
Schreibe eine E-Mail an support@thread.page mit „Security“ im Betreff. Beschreibe, was du gefunden hast und wie es sich reproduzieren lässt; füge keine Daten anderer Personen bei. Das gilt für ganz ThreadPage.