Webhook, un player che si adatta alla registrazione, e un avviso prima di registrare

In tutto il prodotto non c’era nessun evento che dicesse “è arrivata una nuova segnalazione”. Gli avvisi arrivavano in una casella di posta e da nessun’altra parte, così un team che voleva le sue segnalazioni in n8n, in Zapier o in uno script suo non aveva niente verso cui puntarle.

Ora c’è una destinazione: una URL tua, gli eventi che vuoi e una chiave di firma. Quattro eventi, nominati una volta e scritti identici ovunque - report.created, report.status_changed, report.severity_changed e report.first_viewed. Sono un’interfaccia dal momento in cui escono, perché qualcuno ne mette uno dentro un flusso e una rinomina lo rompe in silenzio, quindi il contenuto porta la propria versione fin dal primo rilascio.

Le cose che vale la pena sapere prima di puntarci qualcosa:

• Ogni POST è firmato. HMAC-SHA256 sul timestamp e sul corpo grezzo, con il timestamp dentro il materiale firmato, così che una richiesta intercettata non possa esserti rigiocata contro più tardi.
• La destinazione appartiene al team, non a una persona. L’indirizzo deve continuare a funzionare quando chi l’ha aggiunto se ne va.
• I fallimenti vengono ritentati e poi lasciati stare. L’attesa progressiva dura circa otto ore e mezza prima di arrendersi.
• Ogni tentativo viene registrato. “Il webhook è partito?” si risponde da /app/webhooks e non dai log di produzione di qualcuno.

Una URL fornita dal cliente è per costruzione una superficie di falsificazione delle richieste, perciò l’indirizzo viene risolto e ricontrollato subito prima di ogni connessione e non solo quando è stato salvato, non viene mai seguito nessun reindirizzamento, e il corpo della risposta viene letto solo quel tanto che basta a chiudere lo stream.

La pagina che apre uno sconosciuto

La pagina condivisa di una segnalazione è tanto la dimostrazione del prodotto quanto lo strumento di smistamento di chi la possiede, e le due cose vogliono cose diverse dallo stesso schermo.

L’ordine delle schede era stato deciso per il proprietario: quello che ha scritto chi segnala viene per primo, perché è la cosa più preziosa di una segnalazione ed è la più breve. È giusto per chi sta lavorando la propria casella e sbagliato per chi ha ricevuto il link, che arrivava e trovava sette parole con cui non può fare nulla, mentre gli errori di console, le richieste fallite e la registrazione stavano a un clic di distanza e non aperti. Chi non possiede la segnalazione ora atterra sulle prove, e la fascia sopra le schede dice cosa contiene la cattura invece di lasciarlo scoprire.

Il player in sé aveva due difetti, entrambi visibili in un solo screenshot. La sua superficie scura si estendeva per tutta la larghezza della pagina, così ogni registrazione più stretta di quella fascia - su uno schermo largo, quasi tutte - restava arenata in mezzo a un campo nero. E si apriva in pausa sul fotogramma zero, cioè su qualunque cosa ci fosse sullo schermo di chi segnalava mentre stava ancora allungando la mano verso il pulsante di registrazione. La superficie scura ora è spaziatura interna dell’elemento video stesso, così aderisce alla registrazione con qualsiasi proporzione, e il player si apre su un fotogramma scelto perché valga la pena guardarlo.

A chi segnala viene detto cosa succede alla sua registrazione

Il registro delle interazioni si rifiuta di conservare quello che qualcuno ha digitato in un campo password. Il registro di rete oscura i valori delle credenziali per impostazione predefinita. Il video mostra lo schermo su cui le ha digitate, e su questo non agisce niente.

Stessa domanda, due risposte diverse - e la persona più adatta a deciderlo è chi segnala, perché è l’unica a sapere se la scheda cliente aperta dietro il bug conta qualcosa. Perciò ora gli viene detto cosa diventa la registrazione, prima che la avvii invece che dopo.

È lo stesso istinto dietro tre modifiche più piccole dall’altra parte. Che qualcuno legga la propria segnalazione non ha mai contato per il suo numero di visualizzazioni, ma non lo diceva niente; la pagina della segnalazione, l’elenco delle segnalazioni e il riepilogo ora spiegano ciascuno perché il numero li esclude.

La cattura è costata meno, e il suo oscuramento è diventato coerente

Una cattura gira al rapporto di pixel del display salvo indicazione contraria, così uno schermo 6K registrava 6016 pixel di larghezza. Quei pixel venivano pagati tre volte: nel caricamento di chi segnala, dove si mangiano il budget di byte del piano e quindi la durata che gli è concesso registrare; nell’archiviazione, perché l’originale viene tenuto qualunque cosa gli si codifichi accanto; e a ogni transcodifica, dove la decodifica è la metà costosa. Misurato in produzione, una clip di trentadue secondi costava nove minuti e cinquantaquattro secondi di CPU. La cattura ora è limitata a 1920 di larghezza.

La correzione dell’oscuramento è la più importante. Un dominio con diritto alla cattura non oscurata riduceva la maschera delle intestazioni e della stringa di query ai soli nomi delle carte, così una sola registrazione poteva oscurare un campo di modulo chiamato api_key e insieme tenere in chiaro un’intestazione X-Api-Key, un token CSRF e un ?password= della stessa richiesta. Non l’ha scelto nessuno: erano due percorsi dentro uno stesso file che rispondevano in modo diverso alla stessa domanda. Le credenziali nelle intestazioni e negli URL sono mascherate anche su un dominio che ne ha diritto, e un campo passaporto che l’elenco delle credenziali si stava inghiottendo ora viene riconosciuto come si deve.

Tre cose che avevamo detto che avremmo fatto

Vale la pena elencarle insieme, perché di ciascuna si è scritto qui prima che fosse fatta.

L’estensione non espone più le sue icone e i suoi suoni a ogni origine. web_accessible_resources concedeva entrambe le cartelle a tutti gli URL e nessuna pagina ne ha mai caricato niente - una estensione legge i propri file impacchettati senza alcuna concessione. Era la sorella del permesso inutilizzato di cui abbiamo scritto domenica, e ora non ci sono più né l’una né l’altro; l’estensione 1.6.2 è nello store.

La libreria di integrazione viene servita dalle nostre pagine come 0.4.0, così identify() che porta qualunque chiave possa portare un meta tag non è più vero solo per chi installa da npm. Tre punti che dicevano ancora ai proprietari dei siti che accetta cinque chiavi sono stati corretti.

E alle dodici e mezza di stanotte il server MCP ha iniziato a dire, durante l’handshake, che il testo che trasmette è di terze parti: che il commento, il titolo, l’URL e il nome di una segnalazione li ha scritti chi ha segnalato il bug, di solito una persona qualsiasi, e che vanno trattati come dati da leggere e citare, mai come istruzioni da seguire. L’abbiamo aperto ieri, sulla scorta della ricerca di GhostSplice, e abbiamo scritto perché.

Cose più piccole

• È il titolare dell’abbonamento a decidere di annullarlo e di riprenderlo.
• Un dominio rivendicato si chiama dominio ovunque l’interfaccia lo nomini, invece che sito in metà dei posti.
• Le immagini degli articoli qui possono portare una didascalia, un testo alternativo e una dimensione, e stanno nella larghezza che l’articolo dà loro.
• Le pagine delle condizioni e della sicurezza sono tradotte nelle altre sei lingue, e ogni pagina statica ora dichiara la lingua in cui è davvero scritta.
• L’API consegna una sessione per token invece di una per rinnovo, e la pagina dei token si legge come una riga per token.