Права на коллекции и действия
Выдавайте ровно просмотр, создание, изменение или удаление и ровно на те коллекции, с которыми работает интеграция, — ничего неявного.
РазработчикамAPI-КЛЮЧИ И АУТЕНТИФИКАЦИЯ
Минимальные привилегии, а не токен со всеми правами.
Один всемогущий API-ключ становится проблемой в момент утечки. Машинные учётные данные CMSHub несут явные права на действия в каждой коллекции — просмотр, создание, изменение или удаление, — так что у интеграции есть только тот доступ, который ей действительно нужен, а радиус поражения утёкшего ключа мал и заранее известен.
01 / МАШИННЫЕ УЧЁТНЫЕ ДАННЫЕ
API-ключи с ограниченными правами вместо мастер-ключа
Создавайте, ротируйте и отзывайте API-ключи в каждом рабочем пространстве, ограничивая каждый конкретными коллекциями и действиями — тот же принцип минимальных привилегий, что и для любых продакшен-учётных данных.
Создание, ротация, отзыв
Управляйте жизненным циклом ключа из рабочего пространства: ротируйте по расписанию или немедленно отзывайте при утечке.
Запрет по умолчанию
Ключ без явного права на коллекцию не может её трогать — неявного перехода к более широкому доступу нет.
02 / ПОЛЬЗОВАТЕЛЬСКИЕ СЕССИИ
Защищённые учётные данные, отзываемые сессии
Для входа пользователей используются учётные данные на Argon2id — современном алгоритме хеширования, требовательном к памяти, — и серверные сессии в обёртке JWT, которые можно отозвать сразу, а не ждать их истечения.
Учётные данные на Argon2id
Пароли хешируются с помощью Argon2id, устойчивого к взлому на GPU и ASIC.
Отзываемые сессии
Благодаря серверным сессиям скомпрометированную сессию можно отозвать сразу, не дожидаясь истечения токена.
Аудит событий аутентификации
Входы, отзывы сессий и изменения ключей записываются, так что всегда можно ответить, кто, к чему и когда получал доступ.
СОЗДАЙТЕ КЛЮЧ С ОГРАНИЧЕННЫМИ ПРАВАМИ
Выпустите API-ключ для одной коллекции.
Откройте рабочее пространство и создайте ключ ровно с тем доступом, который нужен вашей интеграции.