Sécuriser les connexions
Où conserver les jetons et les secrets, comment les remplacer, que faire en cas de fuite et comment signaler une vulnérabilité.
Sur cette page
Où conserver les jetons et les secrets
Conservez les jetons, les URL et les secrets de signature dans un gestionnaire de secrets ou une variable d’environnement, jamais dans des notes, des chats ou du code source. Toute personne qui en détient un obtient ce qu’il permet.
Ce que permet chaque identifiant
| Identifiant | Donne accès à | Remplacer avec |
|---|---|---|
Un jeton (tp_…) | Tout ce que le niveau de la connexion permet | Remplacer le jeton… |
| Une URL qui ajoute des notes depuis une autre app | Ajout de notes à son seul fil | Remplacer l’URL… |
Un secret de signature (whsec_…) | Signer des requêtes qui semblent venir de ThreadPage | Remplacer le secret… |
| L’authentification d’une app ou d’un agent de code | Tout ce que son niveau permet | Déconnecter…, puis connecter à nouveau |
| La clé d’API d’un modèle d’IA | Des réponses facturées sur votre compte chez le fournisseur | Remplacer la clé…, puis révoquer l’ancienne clé auprès du fournisseur |
Remplacer un jeton
Remplacer le jeton… agit aussitôt : l’ancien jeton cesse de fonctionner à ce moment-là, et les URL de mise à jour des notes qu’il a ajoutées sont mises en pause jusqu’à ce que vous les repreniez. Votre intégration s’arrête donc jusqu’à ce que le nouveau jeton soit dans son gestionnaire de secrets. Placez-le là en une seule étape, puis vérifiez que le jeton fonctionne.
Pour qu’un jeton continue de fonctionner au-delà de sa durée sans le remplacer, choisissez Prolonger : le même jeton, une nouvelle durée. Les détails de la connexion indiquent quand son jeton cesse de fonctionner.
En cas de fuite
- Un jeton : choisissez Remplacer le jeton…. L’Activité récente dans les détails de la connexion montre ce que le jeton a lu et modifié. Vérifiez ses Mises à jour des notes et supprimez les URL que vous ne reconnaissez pas.
- Une URL qui ajoute des notes : choisissez Remplacer l’URL…. L’ancienne cesse aussitôt de fonctionner.
- Le secret de signature d’un webhook (
whsec_…) : choisissez Remplacer le secret… et mettez tout de suite le nouveau secret dans votre flux de travail : les requêtes falsifiées avec le secret divulgué échouent alors à votre vérification, et celles de ThreadPage portent déjà la nouvelle signature. - Une clé d’API : révoquez-la auprès du fournisseur et choisissez Remplacer la clé….
- En cas de doute : Déconnecter… arrête aussitôt la connexion et tout ce qu’elle utilise.
Annuler les modifications… dans les détails de la connexion annule ce qu’elle a modifié, et Restaurer depuis la corbeille… rétablit ce qu’elle a mis à la corbeille.
Texte non fiable dans les notes
Les notes des services, des assistants et des personnes avec qui vous partagez peuvent contenir du texte écrit pour tromper un assistant. ThreadPage indique qui a écrit chaque note et demande aux assistants de traiter le texte des notes comme une information, jamais comme des instructions.
Ce que les connexions ne peuvent jamais faire
Aucune connexion ne peut supprimer définitivement, partager, envoyer des notes avec @, lire les brouillons ou les versions de récupération privées, exporter ou importer, ni modifier votre compte, votre offre, vos connexions ou vos paramètres de notification.
Votre mot de passe et les connexions
Changer ou réinitialiser votre mot de passe arrête le jeton de chaque connexion. Reconnectez les apps et les agents de code, et créez de nouveaux jetons pour les scripts et les flux de travail.
Signaler une vulnérabilité
Écrivez à support@thread.page avec « Security » dans l’objet. Indiquez ce que vous avez trouvé et comment le reproduire ; n’incluez pas les données d’autres personnes. Cela vaut pour tout ThreadPage.