Qu’est-ce qu’un Auth Secret ?
Un Auth Secret est la moitié privée d’une paire Auth Key et Auth Secret dont la portée est limitée à un Workspace, comparable à un mot de passe pour une automatisation sécurisée. Il doit rester confidentiel et peut être régénéré s’il est compromis, et un Workspace peut contenir plusieurs paires de clés actives.
Fonctionnement des Auth Secrets
L’Auth Secret est la donnée privée utilisée par du code de confiance pour produire les signatures des requêtes de son Workspace. Le service peut vérifier ces signatures sans que l’Auth Secret soit transmis en tant que donnée ordinaire de la requête. L’Auth Secret doit donc être conservé dans un stockage de secrets côté serveur, séparément de l’Auth Key publique à laquelle il est associé et des paramètres signés à courte durée de validité transmis à un client. Le choix du secret pour les webhooks diffère entre une notification initiale, y compris celle issue de la réexécution d’une Assembly, et le renvoi d’une notification, qui peut utiliser une clé historique ou, à défaut, le secret de l’appelant à l’origine du renvoi. Suivez le contrat de vérification des webhooks en sélectionnant les secrets applicables dans une configuration de confiance côté serveur pour le Workspace et l’Assembly attendus, jamais dans des champs non vérifiés de la charge utile. La rotation doit être coordonnée entre les signataires et les consommateurs de webhooks.
Points clés
- 1Intégrer le secret dans du JavaScript exécuté dans le navigateur ou dans un binaire mobile permet de l’extraire ; pour les téléversements depuis les clients, fournissez plutôt des éléments de requête signés générés côté serveur.
- 2Régénérer la valeur du secret d’une paire de clés existante invalide les signatures créées avec la valeur précédente. Pour une rotation planifiée, ajoutez une autre paire de clés et faites migrer les signataires. Avant de retirer l’ancienne paire, tenez compte des requêtes signées et des URL signées encore en circulation et mettez à jour les consommateurs de webhooks pour les notifications initiales et renvoyées qui peuvent encore nécessiter son secret. Lorsque cela est requis, identifiez la paire avec son
auth_key, y compris dans les URL signées du Smart CDN. - 3Les journaux, les rapports d’erreur et les charges utiles d’observabilité nécessitent un masquage des données sensibles, car leur collecte accidentelle à des fins de diagnostic peut compromettre les informations d’identification même si le code source n’en contient pas.
Quand les Auth Secrets sont importants
Conservez l’Auth Secret sur des serveurs de confiance et utilisez-le pour signer les requêtes sans l’exposer aux navigateurs ni aux clients mobiles. Pour vérifier les webhooks, sélectionnez le secret applicable dans une configuration de confiance côté serveur en suivant le contrat de vérification des webhooks. Si un secret est divulgué, procédez rapidement à sa rotation et mettez à jour toutes les intégrations qui en dépendent.