Token projektu i klucze prywatne

Przy integracji aplikacji z monitoringiem najważniejsze są dwa elementy: token projektu oraz klucz prywatny. Pełnią różne funkcje i nie powinny być traktowane jako zamienne.

Token projektu

Token identyfikuje projekt, do którego mają trafić raportowane zdarzenia. Jest używany przez endpoint przyjmujący dane i pozwala przypisać zdarzenie do właściwej aplikacji.

Sam token nie powinien być traktowany jako jedyny mechanizm uwierzytelniania. Tam, gdzie integracja korzysta z prywatnego klucza, oba elementy należy przechowywać zgodnie z zasadami bezpieczeństwa.

Klucz prywatny

Klucz prywatny służy do uwierzytelniania wysyłanych danych. Traktuj go jak sekret aplikacji: nie umieszczaj go w repozytorium, kodzie front-endowym ani w miejscu dostępnym dla użytkowników strony.

Dobrym rozwiązaniem jest przechowywanie go w zmiennej środowiskowej albo w konfiguracji serwera. Dzięki temu zmiana klucza nie wymaga modyfikowania kodu aplikacji.

Jeden projekt może mieć wiele kluczy

Jeżeli projekt obsługuje kilka środowisk lub serwerów, osobne klucze ułatwiają zarządzanie dostępem. Możesz na przykład używać osobnego klucza dla produkcji i osobnego dla środowiska testowego.

To także ogranicza skutki ewentualnego wycieku. Jeśli klucz używany przez jeden serwer trzeba unieważnić, nie musisz zmieniać konfiguracji wszystkich pozostałych instalacji.

Gdzie znaleźć dane projektu?

Informacje potrzebne do konfiguracji integracji znajdziesz w ustawieniach projektu oraz sekcji dotyczącej kluczy API. Skopiuj je bezpośrednio z panelu zamiast przepisywać ręcznie.

Jak przekazać klucz do API?

Integracje mogą uwierzytelniać żądania zgodnie z obsługiwanym formatem API. W przypadku bezpośredniego użycia REST API najprostszym rozwiązaniem jest przekazanie klucza jako nagłówka Bearer:

Authorization: Bearer PROJECT_PRIVATE_KEY

Token projektu znajduje się w adresie endpointu, a klucz prywatny w nagłówku uwierzytelniającym.

Nie umieszczaj klucza w przeglądarce

Każdy kod wykonywany w przeglądarce może zostać odczytany przez użytkownika. Prywatny klucz nie powinien więc nigdy trafiać do JavaScriptu, HTML-a ani publicznego endpointu.

Jeżeli chcesz raportować błędy z przeglądarki, raport powinien przejść przez własny backend. To backend posiada prywatny klucz i dopiero on przekazuje dane do systemu monitoringu.

Co zrobić po wycieku klucza?

Jeżeli podejrzewasz, że prywatny klucz został ujawniony, potraktuj go jak każde inne utracone poświadczenie. Unieważnij go, wygeneruj nowy i zaktualizuj konfigurację aplikacji.

Nie czekaj na potwierdzenie nadużycia. Sam fakt, że sekret znalazł się w publicznym repozytorium, logach lub kodzie front-endowym, jest wystarczającym powodem do jego wymiany.