O que é um Auth Secret?
Um Auth Secret é a metade privada de um par formado por uma Auth Key e um Auth Secret com escopo de Workspace, comparável a uma senha para automação segura. Ele deve permanecer confidencial e pode ser regenerado se for comprometido, e um Workspace pode ter vários pares de chaves ativos.
Como os Auth Secrets funcionam
O Auth Secret é o dado privado usado por código confiável para produzir assinaturas de solicitações para seu Workspace. O serviço pode verificar essas assinaturas sem que a credencial seja transmitida como um dado comum da solicitação. Por isso, ele deve ficar em um armazenamento de segredos no lado do servidor, separado da Auth Key pública com a qual forma um par e dos parâmetros assinados de curta duração entregues a um cliente. A seleção do segredo para webhooks difere entre uma Notification inicial, inclusive uma gerada pela reexecução de uma Assembly, e o reenvio de uma Notification, que pode usar uma chave histórica ou recorrer ao segredo de quem solicitou o reenvio. Siga o contrato de verificação de webhooks, selecionando os segredos aplicáveis na configuração confiável do lado do servidor para o Workspace e a Assembly esperados, nunca em campos de payload não verificados. A rotação deve ser coordenada entre os componentes de assinatura e os consumidores de webhooks.
Informações essenciais
- 1Incorporar o segredo ao JavaScript do navegador ou a um binário de aplicativo móvel permite que ele seja extraído; os uploads de clientes devem receber dados de solicitação assinados gerados pelo servidor.
- 2Regenerar um segredo no mesmo registro invalida as assinaturas criadas com o valor anterior. Para uma rotação planejada, adicione outro par de chaves e migre os componentes de assinatura. Antes de desativar o par antigo, leve em conta as solicitações e URLs assinadas ainda pendentes e atualize os consumidores de webhooks para as Notifications iniciais e reenviadas que ainda possam exigir o segredo desse par. Quando necessário, identifique o par pelo seu
auth_key, inclusive em URLs assinadas do Smart CDN. - 3Logs, relatórios de erros e payloads de observabilidade precisam ter dados sensíveis ocultados, pois a captura acidental de dados de diagnóstico pode comprometer a credencial mesmo quando não há segredos no código-fonte.
Quando os Auth Secrets são importantes
Mantenha o Auth Secret em servidores confiáveis e use-o para assinar solicitações sem expô-lo a navegadores ou clientes móveis. Para verificar webhooks, selecione o segredo aplicável na configuração confiável do lado do servidor usando o contrato de verificação de webhooks. Se um segredo vazar, faça a rotação imediatamente e atualize todas as integrações dependentes.