Перейти к содержанию

Шифрование секретов интеграций

Третья служба того же рода, что шифрование секретов SMS и Checkbox, — для ключей API, токенов и паролей остальных интеграций.

Где искать: Модули → Система → Обслуживание → Шифрование секретов интеграций

Разбор на примере

Шифрование секретов интеграций

Как и у сестёр: пояснение и одна рабочая кнопка «Выполнить». «По расписанию» неактивна, потому что операция разовая. Параметров нет — что именно шифруется, перечислено ниже.

Зачем её запускать

Поля-секреты в настройках интеграций работают только на запись: значение хранится в базе зашифрованным, в окно не отдаётся (заданный секрет показывается маской из восьми точек) и в поиске не находится. Так ведут себя значения, сохранённые уже на новой версии. То, что лежало в базе до обновления, остаётся открытым текстом — и в самом поле, и в поисковом отпечатке записи.

Служба доводит старые значения до того же состояния. Запустите её один раз после обновления базы до версии с полями только на запись. Расписание для неё выключено: операция разовая.

Что именно шифруется

Пароль Atompark, с которым отправляются SMS, эта служба не шифрует — его шифрует шифрование секретов SMS, запустите и её. Пароль «Настройки TurboSMS» шифруют обе службы, а поисковый отпечаток обеих SMS-настроек перестраивает каждая из них, так что старый открытый пароль из него уберёт любая.

Уже зашифрованные и пустые значения пропускаются, поэтому повторный запуск безопасен. Служба проходит по всем компаниям базы сразу, а не только по текущей: секрет, забытый в другой компании, оставался бы открытым.

Заодно в каждой записи этих реестров перестраивается поисковый отпечаток — уже без секрета. Это делается даже тогда, когда сам секрет пуст или уже зашифрован: открытый текст мог остаться в отпечатке от более давнего сохранения.

Ключ шифрования и сбои

  • Ключ шифрования — часть конфигурации сервера, в базе его нет. Сменили или потеряли ключ, перенесли базу на сервер с другим ключом — сохранённые секреты уже не расшифруются, интеграции перестанут принимать свои ключи и пароли, и их придётся ввести заново в каждой настройке.
  • Ключа на сервере нет — служба останавливается на первом открытом секрете с сообщением «Секрет не удалось зашифровать на сервере. Обратитесь к администратору, чтобы он проверил ключ шифрования»; открытые значения остаются как были.
  • Обратной операции нет: в открытый вид секреты не возвращаются, расшифровывает их только сервер в момент обращения к интеграции.
  • Строки записываются по одной, а не одной транзакцией: если служба остановилась посередине, сделанное остаётся, а повторный запуск доделает остальное.

Как понять, что всё сработало

Интеграции работают как работали: система расшифровывает сохранённое значение сама, пока ключ шифрования на сервере тот же. В окне настроек разницы не видно — заданный секрет показывается маской из восьми точек и до запуска, и после.

После запуска служба показывает итог на экране: сколько строк зашифровано, в скольких открытый секрет найден в поиске и убран, в скольких поисковый текст перестроен без приватных полей. Отдельными строками итога с треугольником идут: реестр, который прочитать не удалось; строки, изменённые, пока служба работала (запустите её ещё раз); строка, которую не удалось записать, — в ней секрет остался открытым. Реестр, которого в этой базе нет, пропускается молча. Подробности по каждому реестру — в журнале сервера.

Куда смотреть дальше