Envoie la référence minimale du projet, l'événement, l'horodatage et le nonce.
Sécurité et architecture
Traiter chaque client externe comme une limite étroite et révocable.
Le jeu, le monde, le plugin ou le script ne devrait jamais devenir un administrateur invisible. Donnez des capacités explicites à chaque projet, gardez les secrets côté serveur, rejettez les demandes rejouées, et conservez suffisamment de preuves d'audit pour révoquer ou récupérer en toute sécurité.
Vérifie l'état du projet, la signature, l'événement autorisé, la fenêtre d'horloge et l'état de replay.
N'appelle que l'identité, le droit, le soutien ou la capacité d'analyse explicitement permis.
Enregistre la décision sans renvoyer de secrets ou de données privées non liées.
Règles de confiance
Par défaut, un pont studio de production doit être conservé.
Handicapés jusqu ' à approbation
Un propriétaire ou un administrateur permet explicitement le connecteur pour un projet sélectionné.
Capacité minimale
L'identité, les droits, les événements, le soutien et l'analyse sont des permissions distinctes, sans qu'il y ait accès implicite de l'administrateur.
Secrets restent côté serveur
Les identifiants de paiement, les identifiants SMTP, les clés privées et les jetons de fournisseur non liés n'appartiennent jamais aux charges utiles des clients.
Signé et rejoué-connaissant
Vérifier les signatures, les horodatages, les nonces, les types d'événements acceptés, les limites de charge utile et les limites tarifaires avant le début du travail du fournisseur.
Révocation immédiate
Désactiver un projet ou faire pivoter un titre de compétence sans prendre hors ligne les sites, les clients ou les données du fournisseur.
Décisions vérifiées
Consigner les opérations acceptées et rejetées avec des références sûres, jamais des secrets bruts ou des contenus privés inutiles.
Porte de lancement
Avant les références de production
- Utiliser un projet distinct de non-production et un titre de compétence.
- Confirmer les types d'événements autorisés et les limites de taille de charge utile.
- Tester les signatures invalides, les horodatages expirés et les nonces répétés.
- Vérifier qu'un projet révoqué échoue.
- Tester en tant que membre normal, pas seulement en tant que propriétaire.
- Confirmer que les dossiers d'audit ne contiennent pas d'identification ni de données de paiement privées.
- La rotation des documents, les pannes et la propriété des incidents.
Ne jamais accorder par défaut
Gardez-les en dehors du connecteur
- Accès large à l'administrateur ou à la base de données
- Autorisation de modifier ses propres capacités
- Secrets de paiement, de courrier, de stockage ou de signature
- Données sur la santé privée, les données juridiques ou les membres indépendants
- Accès au fichier non consolidé ou exécution arbitraire du serveur
- Accès silencieux à des projets croisés
- Comportement de récupération destructif automatique
Décision suivante
Correspondez à la limite d'un client pris en charge.
Comparer les formats de connecteurs et les capacités déclarées avant de préparer un paquet d'implémentation sous licence.