Manter as ligações seguras
Onde guardar tokens e segredos, como substituí-los, o que fazer se algum for divulgado e como comunicar uma vulnerabilidade.
Nesta página
Onde guardar tokens e segredos
Guarde tokens, URLs e segredos de assinatura num gestor de segredos ou numa variável de ambiente, nunca em notas, chats ou código-fonte. Quem tiver um deles obtém o que ele permite.
O que cada credencial pode fazer
| Credencial | Dá acesso a | Como substituir |
|---|---|---|
Um token (tp_…) | Tudo o que o nível da ligação permite | Substituir token… |
| Um URL que adiciona notas de outra app | Adicionar notas ao seu único tópico | Substituir URL… |
Um segredo de assinatura (whsec_…) | Assinar pedidos que parecem vir do ThreadPage | Substituir segredo… |
| O início de sessão de uma app ou de um agente de programação | Tudo o que o nível dela permite | Desligar… e voltar a ligar |
| A chave de API de um modelo de IA | Respostas faturadas na sua conta do fornecedor | Substituir chave… e revogar a chave antiga junto do fornecedor |
Substituir um token
Substituir token… funciona de imediato: o token antigo deixa de funcionar nesse momento, e os URLs de atualizações de notas que adicionou ficam em pausa até os retomar. Por isso, a sua integração para até o novo token estar no respetivo gestor de segredos. Coloque-o lá num só passo e depois verifique se o token funciona.
Para manter um token a funcionar depois do período sem o substituir, escolha Renovar: o mesmo token, um novo período. Os detalhes da ligação mostram quando o token deixa de funcionar.
Se algo for divulgado
- Um token: escolha Substituir token…. Atividade recente, nos detalhes da ligação, mostra o que o token leu e alterou. Verifique as respetivas Atualizações de notas e elimine os URLs que não reconhecer.
- Um URL que adiciona notas: escolha Substituir URL…. O antigo deixa de funcionar de imediato.
- O segredo de assinatura de um webhook (
whsec_…): escolha Substituir segredo… e coloque de imediato o novo segredo no seu fluxo de trabalho: os pedidos forjados com o segredo divulgado deixam de passar a sua verificação, e os pedidos do ThreadPage já levam a nova assinatura. - Uma chave de API: revogue-a junto do fornecedor e escolha Substituir chave….
- Em caso de dúvida: Desligar… para de imediato a ligação e tudo o que ela usa.
Anular alterações…, nos detalhes da ligação, anula o que ela alterou, e Restaurar do Lixo… traz de volta o que moveu para o Lixo.
Texto não fidedigno nas notas
As notas de serviços, de assistentes e das pessoas com quem partilha podem conter texto escrito para enganar um assistente. O ThreadPage indica quem escreveu cada nota e diz aos assistentes que tratem o texto das notas como informação, nunca como instruções.
O que as ligações nunca podem fazer
Nenhuma ligação pode eliminar permanentemente, partilhar, enviar notas com @, ler rascunhos ou versões de recuperação privadas, exportar ou importar, nem alterar a sua conta, o seu plano, as suas ligações ou as definições de notificações.
A sua palavra-passe e as suas ligações
Alterar ou repor a palavra-passe desativa o token de todas as ligações. Volte a ligar as apps e os agentes de programação, e crie novos tokens para os scripts e os fluxos de trabalho.
Comunicar uma vulnerabilidade
Envie um email para support@thread.page com «Security» no assunto. Inclua o que encontrou e como reproduzi-lo; não inclua dados de outras pessoas. Isto aplica-se a todo o ThreadPage.