Bezpieczeństwo połączeń
Gdzie przechowywać tokeny i sekrety, jak je wymienić, co zrobić, gdy któryś wycieknie, i jak zgłosić lukę w zabezpieczeniach.
Na tej stronie
Gdzie przechowywać tokeny i sekrety
Przechowuj tokeny, adresy URL i sekrety podpisu w magazynie sekretów lub zmiennej środowiskowej, nigdy w notatkach, czatach ani kodzie źródłowym. Kto ma którykolwiek z nich, dostaje wszystko, na co on pozwala.
Co dają poszczególne dane uwierzytelniające
| Dane uwierzytelniające | Daje | Jak wymienić |
|---|---|---|
Token (tp_…) | Wszystko, na co pozwala poziom połączenia | Wymień token… |
| Adres URL dodający notatki z innej aplikacji | Dodawanie notatek do jednego, swojego wątku | Wymień adres URL… |
Sekret podpisu (whsec_…) | Podpisywanie żądań, które wyglądają, jakby pochodziły od ThreadPage | Wymień sekret… |
| Logowanie aplikacji lub agenta do kodowania | Wszystko, na co pozwala jego poziom | Rozłącz…, a potem połącz ponownie |
| Klucz API modelu AI | Odpowiedzi rozliczane na twoim koncie u dostawcy | Wymień klucz…, a stary klucz unieważnij u dostawcy |
Wymiana tokena
Wymień token… działa od razu: stary token przestaje działać w tej samej chwili, a dodane przez niego adresy URL aktualizacji notatek są wstrzymane, dopóki ich nie wznowisz. Twoja integracja stoi więc, dopóki nowy token nie trafi do jej magazynu sekretów. Umieść go tam w jednym kroku, a potem sprawdź, czy token działa.
Aby token działał po upływie okresu bez wymiany, wybierz Odnów: ten sam token, nowy okres. Szczegóły połączenia pokazują, kiedy jego token przestanie działać.
Jeśli coś wycieknie
- Token: wybierz Wymień token…. Ostatnia aktywność w szczegółach połączenia pokazuje, co token czytał i zmieniał. Sprawdź jego Aktualizacje notatek i usuń adresy URL, których nie rozpoznajesz.
- Adres URL dodający notatki: wybierz Wymień adres URL…. Stary od razu przestaje działać.
- Sekret podpisu webhooka (
whsec_…): wybierz Wymień sekret… i od razu wpisz nowy sekret w swojej automatyzacji: żądania podrobione wykradzionym sekretem nie przejdą wtedy Twojej weryfikacji, a własne żądania ThreadPage już mają nowy podpis. - Klucz API: unieważnij go u dostawcy i wybierz Wymień klucz….
- W razie wątpliwości: Rozłącz… od razu zatrzymuje połączenie i wszystko, czego ono używa.
Cofnij zmiany… w szczegółach połączenia cofa to, co ono zmieniło, a Przywróć z Kosza… przywraca to, co przeniosło do Kosza.
Niezaufany tekst w notatkach
Notatki od usług, asystentów i osób, którym udostępniasz, mogą zawierać tekst napisany po to, by wprowadzić asystenta w błąd. ThreadPage oznacza, kto napisał każdą notatkę, i każe asystentom traktować tekst notatek jako informacje, nigdy jako polecenia.
Czego połączenia nigdy nie mogą
Żadne połączenie nie może trwale usuwać, udostępniać, wysyłać notatek przez @, czytać szkiców ani prywatnych wersji do odzyskania, eksportować, importować ani zmieniać twojego konta, planu, połączeń czy ustawień powiadomień.
Twoje hasło i połączenia
Zmiana lub zresetowanie hasła zatrzymuje tokeny wszystkich połączeń. Połącz ponownie aplikacje i agentów do kodowania oraz utwórz nowe tokeny dla skryptów i automatyzacji.
Zgłoś lukę w zabezpieczeniach
Napisz na support@thread.page z tematem „Security”. Opisz znaleziony problem i sposób jego odtworzenia; nie dołączaj danych innych osób. Dotyczy to całego ThreadPage.