Proteggi i collegamenti
Dove conservare token e segreti, come sostituirli, cosa fare se uno viene divulgato e come segnalare una vulnerabilità.
In questa pagina
Dove conservare token e segreti
Conserva token, URL e segreti di firma in un gestore di segreti o in una variabile d’ambiente, mai in note, chat o codice sorgente. Chiunque ne abbia uno ottiene ciò che consente.
Cosa consente ogni credenziale
| Credenziale | Consente | Sostituisci con |
|---|---|---|
Un token (tp_…) | Tutto ciò che il livello del collegamento consente | Sostituisci token… |
| Un URL che aggiunge note da un’altra app | Aggiungere note al suo unico argomento | Sostituisci URL… |
Un segreto di firma (whsec_…) | Firmare richieste che sembrano provenire da ThreadPage | Sostituisci segreto… |
| L’accesso di un’app o di un agente di programmazione | Tutto ciò che il suo livello consente | Scollega…, poi collega di nuovo |
| La chiave API di un modello di IA | Risposte addebitate al tuo account presso il fornitore | Sostituisci chiave… e revoca la vecchia chiave presso il fornitore |
Sostituire un token
Sostituisci token… ha effetto subito: il vecchio token smette di funzionare in quel momento, e gli URL di aggiornamento delle note che ha aggiunto restano in pausa finché non li riprendi. La tua integrazione quindi si ferma finché il nuovo token non è nel suo gestore di segreti. Inseriscilo lì in un solo passaggio, poi controlla che il token funzioni.
Per far funzionare un token oltre il suo periodo senza sostituirlo, scegli Rinnova: lo stesso token, un nuovo periodo. I dettagli del collegamento mostrano quando il suo token smette di funzionare.
Se qualcosa viene divulgato
- Un token: scegli Sostituisci token…. Attività recente nei dettagli del collegamento mostra cosa ha letto e modificato il token. Controlla i suoi Aggiornamenti delle note ed elimina gli URL che non riconosci.
- Un URL che aggiunge note: scegli Sostituisci URL…. Quello vecchio smette subito di funzionare.
- Il segreto di firma di un webhook (
whsec_…): scegli Sostituisci segreto… e inserisci subito il nuovo segreto nel tuo flusso di lavoro: le richieste falsificate con il segreto divulgato non superano più la tua verifica, e quelle di ThreadPage portano già la nuova firma. - Una chiave API: revocala presso il fornitore e scegli Sostituisci chiave….
- Nel dubbio: Scollega… blocca subito il collegamento e tutto ciò che usa.
Annulla modifiche… nei dettagli del collegamento annulla ciò che ha modificato, e Ripristina dal Cestino… riporta ciò che ha spostato nel Cestino.
Testo non attendibile nelle note
Le note di servizi, assistenti e persone con cui condividi possono contenere testo scritto per ingannare un assistente. ThreadPage indica chi ha scritto ogni nota e dice agli assistenti di trattare il testo delle note come informazione, mai come istruzioni.
Cosa i collegamenti non possono mai fare
Nessun collegamento può eliminare definitivamente, condividere, inviare note con @, leggere bozze o versioni di recupero private, esportare o importare, o modificare il tuo account, il piano, i collegamenti o le impostazioni delle notifiche.
La password e i collegamenti
Cambiare o reimpostare la password blocca il token di ogni collegamento. Collega di nuovo app e agenti di programmazione, e crea nuovi token per script e flussi di lavoro.
Segnala una vulnerabilità
Scrivi a support@thread.page con «Security» nell’oggetto. Indica cosa hai trovato e come riprodurlo; non includere dati di altre persone. Vale per tutto ThreadPage.