Utilisez des clés API à portée limitée

Discourse · Septembre 22, 2020, 9:29

Les clés API nous permettent d’intégrer Discourse à d’autres systèmes ou d’automatiser diverses actions. Cependant, un grand pouvoir implique de grandes responsabilités. Si un acteur malveillant obtient l’accès à une clé API, il pourrait accéder à des données sensibles ou modifier votre site. Pour atténuer ce risque et ajouter une couche de sécurité supplémentaire, vous pouvez désormais limiter les actions autorisées pour une clé API en utilisant des périmètres d’accès (scopes).

Périmètres d’accès et paramètres autorisés

Lors de la création d’une nouvelle clé API, vous pouvez sélectionner les périmètres d’accès souhaités. Si vous passez la souris sur l’icône , vous verrez une brève description de son fonctionnement. Le bouton affichera les URL associées à ce périmètre d’accès.

Vous pouvez également spécifier les paramètres acceptés. Séparez plusieurs valeurs par des virgules.

Migration des clés existantes

Lors de l’ajout de cette fonctionnalité, les clés existantes sont devenues des clés « globales ». Pour les migrer vers des périmètres d’accès, vous devez les révoquer et en créer de nouvelles.

Ajout de périmètres d’accès personnalisés

Les plugins peuvent ajouter des périmètres d’accès personnalisés en appelant la méthode add_api_key_scope :

github.com/discourse/discourse

lib/plugin/instance.rb

main


      
            reloadable_patch { Reviewable.add_custom_filter(filter) }
          end
          
          # Register a new API key scope.
          #
          # Example:
          # add_api_key_scope(:groups, { delete: { actions: %w[groups#add_members], params: %i[id] } })
          #
          # This scope lets you add members to a group. Additionally, you can specify which group ids are allowed.
          # The delete action is added to the groups resource.
          def add_api_key_scope(resource, action)
            DiscoursePluginRegistry.register_api_key_scope_mapping({ resource => action }, self)
          end
          
          # Register a new UserApiKey scope, and its allowed routes. Scope will be prefixed
          # with the (parameterized) plugin name followed by a colon.
          #
          # For example, if discourse-awesome-plugin registered this:
          #
          # add_user_api_key_scope(:read_my_route,
          #   methods: :get,

resource est un symbole utilisé pour regrouper des périmètres d’accès apparentés, tandis que action est un hachage contenant les attributs suivants :

actions : Une liste contenant les actions de contrôleur autorisées. Le format est nom_du_contrôleur#nom_de_la_méthode.
methods : Une liste de méthodes HTTP à autoriser (par exemple, %i[get]). Utilisez cette option au lieu de actions pour filtrer par méthode HTTP plutôt que par action de contrôleur.
params : Une liste contenant les noms des paramètres autorisés.
aliases : Un hachage contenant un nom différent pour un paramètre autorisé.

Pour savoir comment les périmètres d’accès de base sont définis, consultez :

github.com/discourse/discourse

app/models/api_key_scope.rb

main


      
          
          class << self
            def list_actions
              actions = %w[list#category_feed list#category_default list#latest_feed]
          
              %i[latest unread new top].each { |f| actions.concat(["list#category_#{f}", "list##{f}"]) }
          
              actions
            end
          
            def default_mappings
              return @default_mappings unless @default_mappings.nil?
          
              mappings = {
                global: {
                  read: {
                    methods: %i[get],
                  },
                },
                topics: {
                  write: {

nickhingston · Septembre 23, 2020, 7:43

Il semble que je reçoive une réponse 403 lors de la récupération des catégories avec une clé API en lecture seule.

curl -X GET "https://mysite/categories.json" \
-H "Api-Key: mykey" \
-H "Api-Username: system"

J’ai pourtant configuré les permissions read et read_list sur les topics pour cette clé API. Par exemple, /top.json fonctionne avec la même clé. Le point de terminaison fonctionne lorsque j’utilise une « clé globale ».

Je souhaite intégrer la clé API dans mon client pour lire la liste des catégories et des topics, il est donc important d’avoir une clé en lecture seule !

Des pistes à me suggérer ?

nickhingston · Septembre 23, 2020, 10:03

Étonnamment, cela fonctionne si aucune identité n’est utilisée !

k
c.-à-d. curl -X GET "https://mysite/categories.json"

Roman · Septembre 23, 2020, 2:32

Malheureusement, nous n’incluons qu’une poignée de scopes par défaut en raison du grand nombre de points de terminaison disponibles. Nous pourrions en ajouter de nouveaux à l’avenir, mais d’ici là, vous devrez les étendre pour répondre à vos besoins.

Si vous utilisez une clé API avec des scopes restreints, l’appel de points de terminaison non inclus dans les scopes choisis ne fonctionnera pas. Vous pouvez cliquer sur le bouton pour voir quelles URL sont acceptées.

Cela ne fonctionne que pour les sites publics. De plus, vous ne verrez pas d’éléments tels que les catégories privées, sauf si vous êtes connecté et disposez des permissions suffisantes.

Dannii · Septembre 26, 2020, 7:53

Proposez-vous des suggestions pour d’autres scopes ?

Une chose qui m’intéresserait, c’est d’utiliser l’API de notre site pour permettre à un autre site de vérifier si un utilisateur existe avec une adresse e-mail donnée et de l’ajouter à un groupe si c’est le cas. Je fais confiance au site en question (un autre site au sein de notre organisation mère), mais il me semble judicieux de restreindre les options d’accès à ce qui est strictement nécessaire, si cela est possible.

fzngagan · Septembre 26, 2020, 8:35

Je suis super content qu’ils aient ouvert une API pour les plugins. Vous pouvez commencer par un plugin et voir s’il peut être intégré au cœur du système.

riking · Septembre 26, 2020, 10:17

Je pense que les pr-welcome sont les bienvenus pour toute portée généralement utile que vous pourriez imaginer. Par exemple, group_membership.edit ?

Sujet		Réponses	Vues
What scopes exactly does the Wordpress API key need? WordPress	13	1700	Mai 24, 2022
Create and configure an API key Integrations how-to , rest-api	6	30735	Mai 10, 2024
Get an API key's scopes and user level via the API Development rest-api	0	609	Novembre 16, 2023
Get API Key only for adding/removing users from a group Development rest-api	1	468	Septembre 23, 2022
Granular API support for creating users? Support rest-api	2	56	Octobre 17, 2025

Utilisez des clés API à portée limitée

Périmètres d’accès et paramètres autorisés

Migration des clés existantes

Ajout de périmètres d’accès personnalisés

Sujets connexes