Безопасность подключений
Где хранить токены и секреты, как их заменить, что делать, если что-то из них утекло, и как сообщить об уязвимости.
На этой странице
Где хранить токены и секреты
Храните токены, URL-адреса и секреты подписи в хранилище секретов или в переменной окружения, а не в заметках, чатах или исходном коде. Кто владеет любым из них, получает всё, что он разрешает.
Что дают учётные данные
| Учётные данные | Даёт | Как заменить |
|---|---|---|
Токен (tp_…) | Всё, что разрешает уровень подключения | Заменить токен… |
| URL-адрес, добавляющий заметки из другого приложения | Добавление заметок в свой единственный поток | Заменить URL-адрес… |
Секрет подписи (whsec_…) | Подпись запросов, которые выглядят так, будто приходят от ThreadPage | Заменить секрет… |
| Вход приложения или агента-программиста | Всё, что разрешает его уровень | Отключить…, затем подключить снова |
| API-ключ модели ИИ | Ответы за счёт вашего аккаунта у поставщика | Заменить ключ…, а старый ключ отзовите у поставщика |
Замена токена
Заменить токен… действует сразу: старый токен перестаёт работать в тот же момент, а добавленные им URL-адреса для обновлений заметок приостанавливаются, пока вы их не возобновите. Поэтому ваша интеграция стоит, пока новый токен не окажется в её хранилище секретов. Внесите его туда одним шагом, а затем проверьте, что токен работает.
Чтобы токен работал и после своего срока без замены, выберите Продлить: тот же токен, новый срок. В подробностях подключения видно, когда его токен перестанет работать.
Если что-то утекло
- Токен: выберите Заменить токен…. Последняя активность в подробностях подключения показывает, что токен читал и изменял. Проверьте его Обновления заметок и удалите URL-адреса, которых вы не знаете.
- URL-адрес, добавляющий заметки: выберите Заменить URL-адрес…. Старый сразу перестаёт работать.
- Секрет подписи вебхука (
whsec_…): выберите Заменить секрет… и сразу внесите новый секрет в свою автоматизацию: тогда запросы, подделанные утёкшим секретом, не пройдут вашу проверку, а собственные запросы ThreadPage уже несут новую подпись. - API-ключ: отзовите его у поставщика и выберите Заменить ключ….
- Если не уверены: Отключить… сразу останавливает подключение и всё, чем оно пользуется.
Отменить изменения… в подробностях подключения отменяет то, что оно изменило, а Восстановить из Корзины… возвращает то, что оно переместило в Корзину.
Ненадёжный текст в заметках
Заметки от сервисов, ассистентов и людей, с которыми вы делитесь, могут содержать текст, написанный, чтобы ввести ассистента в заблуждение. ThreadPage отмечает, кто написал каждую заметку, и указывает ассистентам воспринимать текст заметок как информацию, а не как инструкции.
Чего подключения не могут никогда
Никакое подключение не может удалять навсегда, делиться, отправлять заметки через @, читать черновики или личные версии для восстановления, экспортировать или импортировать, а также менять ваш аккаунт, тариф, подключения или настройки уведомлений.
Ваш пароль и подключения
Смена или сброс пароля останавливает токены всех подключений. Подключите приложения и агентов-программистов снова и создайте новые токены для скриптов и автоматизаций.
Сообщить об уязвимости
Напишите на support@thread.page с темой «Security». Опишите, что вы нашли и как это воспроизвести; не прикладывайте данные других людей. Это касается всего ThreadPage.