イベントグリッドのサブスクリプションを確保する方法webhook

webhookが他の悪意のあるサービスや人物ではなく、空のイベントグリッドによってサブスクリプションエンドポイントに送信されたことを検証するベストプラクティスは何ですか？イベントグリッドのサブスクリプションを確保する方法webhook

2017-10-06 sANDwORm

webhook URLを設定するときに、秘密トークンをクエリパラメータに入れることができます。次に、コード内でこのパラメータを検証できます。私はそれが受け入れ可能な解決策であることを確認していない

https://myfunctionapp.azurewebsites.net/api/EventGridWebHook1?code=your_functionapp_code

出典

2017-10-09 09:56:29 Mikhail

：

例えば、Azureの機能ウェブフックのために、あなたはcodeパラメータを使用します。クエリコードやURIにセキュリティコードがあるのは、ログなどに簡単に公開される可能性があるため、悪い習慣です。また、webhookエンドポイントがSSL（https）で保護されていないと危険です。私はhttps://developer.github.com/webhooks/securing/のようなものを期待しています。 – sANDwORm

これは有効な懸念事項です@sandwORm。最初に気になる考えは、すべての公開エンドポイントが安全であること（SSL）、徹底的なセキュリティの練習（鍵の回転、境界/エンドポイントでの検証、ペイロード内の別のセキュリティ層の追加プロパティ）。 – dbarkol

イベントグリッドのサブスクリプションを確保する方法webhook

答えて

関連する問題