Безпека підключень
Де зберігати токени й секрети, як їх замінити, що робити, якщо щось із них витекло, і як повідомити про вразливість.
На цій сторінці
Де зберігати токени й секрети
Зберігайте токени, URL-адреси й секрети підпису у сховищі секретів або в змінній середовища, а не в нотатках, чатах чи вихідному коді. Хто має будь-що з них, отримує все, що воно дозволяє.
Що дають облікові дані
| Облікові дані | Дає | Як замінити |
|---|---|---|
Токен (tp_…) | Усе, що дозволяє рівень підключення | Замінити токен… |
| URL-адреса, що додає нотатки з іншого застосунку | Додавання нотаток у свій єдиний потік | Замінити URL-адресу… |
Секрет підпису (whsec_…) | Підписування запитів, які виглядають так, ніби надходять від ThreadPage | Замінити секрет… |
| Вхід застосунку або агента-програміста | Усе, що дозволяє його рівень | Від’єднати…, потім підключити знову |
| API-ключ моделі ШІ | Відповіді за рахунок вашого акаунта в постачальника | Замінити ключ…, а старий ключ відкличте в постачальника |
Заміна токена
Замінити токен… діє одразу: старий токен перестає працювати тієї ж миті, а додані ним URL-адреси для оновлень нотаток призупиняються, доки ви їх не відновите. Тож ваша інтеграція стоїть, доки новий токен не опиниться в її сховищі секретів. Внесіть його туди одним кроком, а потім перевірте, що токен працює.
Щоб токен працював і після свого строку без заміни, виберіть Поновити: той самий токен, новий строк. У подробицях підключення видно, коли його токен перестане працювати.
Якщо щось витекло
- Токен: виберіть Замінити токен…. Остання активність у подробицях підключення показує, що токен читав і змінював. Перевірте його Оновлення нотаток і видаліть URL-адреси, яких ви не знаєте.
- URL-адреса, що додає нотатки: виберіть Замінити URL-адресу…. Стара одразу перестає працювати.
- Секрет підпису вебхука (
whsec_…): виберіть Замінити секрет… і одразу внесіть новий секрет у свою автоматизацію: тоді запити, підроблені злитим секретом, не пройдуть вашу перевірку, а власні запити ThreadPage вже мають новий підпис. - API-ключ: відкличте його в постачальника й виберіть Замінити ключ….
- Якщо не впевнені: Від’єднати… одразу зупиняє підключення й усе, чим воно користується.
Скасувати зміни… у подробицях підключення скасовує те, що воно змінило, а Відновити з Кошика… повертає те, що воно перемістило до Кошика.
Ненадійний текст у нотатках
Нотатки від сервісів, асистентів і людей, з якими ви ділитеся, можуть містити текст, написаний, щоб увести асистента в оману. ThreadPage позначає, хто написав кожну нотатку, і вказує асистентам сприймати текст нотаток як інформацію, а не як інструкції.
Чого підключення не можуть ніколи
Жодне підключення не може видаляти назавжди, ділитися, надсилати нотатки через @, читати чернетки чи приватні версії для відновлення, експортувати чи імпортувати або змінювати ваш акаунт, тариф, підключення чи налаштування сповіщень.
Ваш пароль і підключення
Зміна або скидання пароля зупиняє токени всіх підключень. Підключіть застосунки й агентів-програмістів знову та створіть нові токени для скриптів і автоматизацій.
Повідомити про вразливість
Напишіть на support@thread.page з темою «Security». Опишіть, що ви знайшли і як це відтворити; не додавайте даних інших людей. Це стосується всього ThreadPage.