¿Qué es un Auth Secret?
Un Auth Secret es la parte privada de un par de Auth Key y Auth Secret vinculado a un Workspace, comparable a una contraseña para automatización segura. Debe mantenerse confidencial y puede regenerarse si se ve comprometido; un Workspace puede tener varios pares de claves activos.
Cómo funcionan los Auth Secrets
El Auth Secret es el dato de entrada privado que utiliza el código de confianza para generar firmas de solicitudes para su Workspace. El servicio puede verificar esas firmas sin que la credencial se transmita como un dato ordinario de la solicitud. Por lo tanto, debe mantenerse en un almacén de secretos del lado del servidor, separado de la Auth Key pública con la que forma un par y de los parámetros firmados de corta duración que se entregan a un cliente. La selección del secreto para los webhooks difiere entre una Notification inicial, incluida la que procede de la reejecución de una Assembly, y el reenvío de una Notification, que puede utilizar una clave histórica o recurrir al secreto de quien solicita el reenvío. Sigue el contrato de verificación de webhooks y selecciona los secretos aplicables de una configuración de confianza del lado del servidor para el Workspace y la Assembly esperados, nunca de campos de una carga útil sin verificar. La rotación debe coordinarse entre los componentes firmantes y los consumidores de webhooks.
Datos clave
- 1Incluir el secreto en el JavaScript del navegador o en un binario móvil permite extraerlo; para las subidas desde el cliente, se deberían recibir en su lugar los datos de solicitud firmados que genera el servidor.
- 2Regenerar un secreto dentro del mismo par de claves existente, manteniendo la misma Auth Key, invalida las firmas creadas con el valor anterior. Para una rotación planificada, añade otro par de claves y migra los componentes firmantes. Antes de retirar el par anterior, ten en cuenta las solicitudes firmadas y las URL firmadas que siguen pendientes y actualiza los consumidores de webhooks para las Notifications iniciales y reenviadas que aún puedan requerir su secreto. Cuando sea necesario, identifica el par mediante su
auth_key, también en las URL firmadas de Smart CDN. - 3Es necesario ocultar los datos sensibles en los registros, los informes de errores y las cargas útiles de observabilidad, porque una captura accidental durante el diagnóstico puede comprometer la credencial incluso cuando el código fuente está limpio.
Cuándo son importantes los Auth Secrets
Mantén el Auth Secret en servidores de confianza y úsalo para firmar solicitudes sin exponerlo a navegadores ni a clientes móviles. Para verificar los webhooks, selecciona el secreto aplicable de una configuración de confianza del lado del servidor siguiendo el contrato de verificación de webhooks. Si se filtra un secreto, rótalo de inmediato y actualiza todas las integraciones que dependan de él.