Nous modifions le fonctionnement de Signature Authentication

Nous souhaitons annoncer une modification du fonctionnement de l’authentification par signature. Ce changement entrera en vigueur jeudi prochain, le 18 décembre, à 10 AM UTC.

Si l’authentification par signature est actuellement activée, vous n’avez rien à faire et pouvez ignorer ce message. Si ce paramètre est désactivé et que vous ne prévoyez pas de fournir des signatures, ni maintenant ni à l’avenir, vous pouvez également passer cet article.

Sinon, veuillez lire attentivement ce qui suit.

Jusqu’à présent, vous pouviez indiquer ici si vous souhaitiez que nous évaluions les signatures fournies dans les requêtes API d’Assembly.

Le problème, c’est qu’il n’existe aucun moyen simple de tester votre implémentation des signatures dans un environnement de production réel comportant de nombreux envois. Activer le paramètre par la suite serait risqué. Nous pourrions éventuellement fournir des signatures de référence sur la page ci-dessus à des fins de comparaison, mais cela ne donnerait guère la confiance nécessaire pour utiliser une implémentation personnalisée en production.

Les personnes souhaitant passer à l’authentification par signature avaient donc souvent recours à des comptes de développement dédiés chez Transloadit. À partir de jeudi prochain, nous modifierons le fonctionnement de ce paramètre afin d’éviter la création de comptes de développement personnalisés. Si le paramètre est :

• désactivé : fournir des signatures ne sera pas obligatoire, mais si vous en fournissez, nous les évaluerons et pourrons rejeter la requête API.
• activé : fournir des signatures est obligatoire. Toutes les requêtes sans signature valide seront rejetées.

Il sera ainsi beaucoup plus facile pour les personnes souhaitant renforcer leur sécurité de tester les signatures. Il suffit de fournir une signature avec quelques Assemblies de test, de vérifier qu’elles sont acceptées, puis de déployer ce code pour toutes les Assemblies lorsque vous avez la certitude que tout fonctionne. Au bout d’un certain temps, vous activez le paramètre dans votre compte pour rendre les signatures obligatoires et rejeter toutes les requêtes qui n’en fournissent pas.

Important : veuillez vérifier si vous fournissez actuellement des signatures dans vos requêtes, même si le paramètre est désactivé. Il est possible que vous fournissiez des signatures erronées, ce qui signifie que vos envois pourraient commencer à échouer à partir de jeudi prochain, même si le paramètre est désactivé. Nous vous enverrons automatiquement un e-mail en cas d’échec lié à ce changement, mais il reste néanmoins important de le vérifier à l’avance.

Nous introduirons également une fonctionnalité connexe jeudi prochain : il sera possible d’exiger des signatures non seulement pour l’ensemble du compte, mais aussi Template par Template. Vous pourrez ainsi avoir à la fois des applications monopages sans code serveur et des Templates d’envoi à faible risque, ainsi que des Templates à haut risque qui exigent des signatures générées par vos serveurs de confiance.

Comme toujours, si vous avez des questions à ce sujet, n’hésitez pas à nous en faire part !