Mantener las conexiones seguras
Dónde guardar tokens y secretos, cómo reemplazarlos, qué hacer si se filtra uno y cómo informar de una vulnerabilidad.
En esta página
Dónde guardar tokens y secretos
Guarda los tokens, las URL y los secretos de firma en un gestor de secretos o en una variable de entorno, nunca en notas, chats ni código fuente. Quien tenga uno obtiene lo que permite.
Qué puede hacer cada credencial
| Credencial | Da acceso a | Cómo reemplazarla |
|---|---|---|
Un token (tp_…) | Todo lo que permite el nivel de la conexión | Reemplazar token… |
| Una URL que añade notas desde otra app | Añadir notas a su único hilo | Reemplazar URL… |
Un secreto de firma (whsec_…) | Firmar solicitudes que parecen venir de ThreadPage | Reemplazar secreto… |
| El inicio de sesión de una app o de un agente de programación | Todo lo que permite su nivel | Desconectar… y volver a conectar |
| La clave de API de un modelo de IA | Respuestas facturadas a tu cuenta del proveedor | Reemplazar clave… y revocar la clave anterior en el proveedor |
Reemplazar un token
Reemplazar token… actúa al instante: el token anterior deja de funcionar en ese momento, y las URL de actualizaciones de notas que añadió se pausan hasta que las reanudes. Por eso tu integración se detiene hasta que el nuevo token esté en su gestor de secretos. Ponlo ahí en un solo paso y después comprueba que el token funciona.
Para que un token siga funcionando después de su periodo sin reemplazarlo, elige Renovar: el mismo token, un nuevo periodo. Los detalles de la conexión muestran cuándo deja de funcionar su token.
Si algo se filtra
- Un token: elige Reemplazar token…. Actividad reciente, en los detalles de la conexión, muestra lo que el token leyó y cambió. Revisa sus Actualizaciones de notas y elimina las URL que no reconozcas.
- Una URL que añade notas: elige Reemplazar URL…. La anterior deja de funcionar al instante.
- El secreto de firma de un webhook (
whsec_…): elige Reemplazar secreto… y pon enseguida el nuevo secreto en tu flujo de trabajo: las solicitudes falsificadas con el secreto filtrado no superarán tu comprobación, y las solicitudes de ThreadPage ya llevan la nueva firma. - Una clave de API: revócala en el proveedor y elige Reemplazar clave….
- Si tienes dudas: Desconectar… detiene al instante la conexión y todo lo que usa.
Deshacer cambios…, en los detalles de la conexión, deshace lo que cambió, y Restaurar de la papelera… recupera lo que movió a la papelera.
Texto no fiable en las notas
Las notas de servicios, asistentes y personas con las que compartes pueden contener texto escrito para engañar a un asistente. ThreadPage marca quién escribió cada nota y pide a los asistentes que traten el texto de las notas como información, nunca como instrucciones.
Lo que las conexiones nunca pueden hacer
Ninguna conexión puede eliminar definitivamente, compartir, enviar notas con @, leer borradores ni versiones de recuperación privadas, exportar ni importar, ni cambiar tu cuenta, tu plan, tus conexiones ni tus ajustes de notificaciones.
Tu contraseña y tus conexiones
Cambiar o restablecer tu contraseña detiene el token de todas las conexiones. Vuelve a conectar las apps y los agentes de programación, y crea tokens nuevos para los scripts y los flujos de trabajo.
Informar de una vulnerabilidad
Escribe a support@thread.page con «Security» en el asunto. Incluye lo que encontraste y cómo reproducirlo; no incluyas datos de otras personas. Esto se aplica a todo ThreadPage.