IP de confiance

Quand un appel arrive avec une clé API depuis une adresse IP pour laquelle cette clé n'a pas été approuvée, il est retenu jusqu'à ce que quelqu'un approuve l'adresse. Une clé qui a fuité et sert depuis ailleurs reçoit un refus, pas une réponse.

Dans la barre latérale de la console (elle apparaît dès que la fonctionnalité s'applique à votre compte) : Settings › Security Ouvrir ↗

Étapes

Ouvrez Paramètres › Sécurité et activez l'option Approbation des nouvelles IP. La fenêtre liste les adresses depuis lesquelles chaque clé a été utilisée ces 7 derniers jours, les adresses publiques déjà cochées : décochez celles que vous ne reconnaissez pas, puis activez. Seuls le propriétaire et les administrateurs de l'espace de travail peuvent modifier ce réglage, et il ne s'active pas tant que la passerelle ne voit pas les vraies adresses des clients (tous les appels semblent venir d'une adresse privée derrière un proxy).
Ensuite, un appel depuis toute autre adresse est refusé avec 403 et le code d'erreur ip_not_trusted. L'erreur indique l'adresse vue par la passerelle et le lien vers la page où l'approuver (champs ip et approve_url). La personne qui a créé la clé reçoit un e-mail avec l'adresse, sa localisation, le client et le modèle demandé (pour une clé d'administration, l'opération appelée) ; pour une clé d'administration qui appartient à l'espace de travail, ou si cette personne a quitté l'espace de travail, l'e-mail va au propriétaire et aux administrateurs.
Ouvrez le lien, connectez-vous et approuvez l'adresse, ou sa plage (/24 en IPv4, /64 en IPv6) pour un client dont l'adresse change, ou refusez-la. L'appel suivant depuis une adresse approuvée passe.
La liste IP de confiance affiche les adresses depuis lesquelles vos clés ont été utilisées, avec leur localisation et leur statut. Faites confiance à une adresse connue en un clic, ajoutez une adresse ou une plage à la main avec Ajouter une IP (jusqu'à /16 en IPv4, /32 en IPv6), ou retirez-en une.

Limites et pièges

La confiance s'applique par clé : approuver une adresse laisse passer cette clé depuis cette adresse, pas toutes les clés de l'espace de travail. Les clés d'inférence comme les clés d'administration sont concernées.
Une clé qui a sa propre liste d'IP autorisées n'est pas concernée tant qu'aucune plage de cette liste n'est plus large qu'un /16 (IPv4) ou un /32 (IPv6) : seule sa liste décide. Si la liste contient une plage plus large, comme 0.0.0.0/0, la clé doit être approuvée comme les autres. Désactiver l'option Approbation des nouvelles IP laisse de nouveau passer toutes les adresses et conserve les adresses de confiance pour la prochaine fois.
Peuvent approuver la personne qui a créé la clé, ainsi que le propriétaire et les administrateurs de l'espace de travail (pour une clé d'administration qui appartient à l'espace de travail, le propriétaire et les administrateurs seulement). L'approbation se fait dans la console, après connexion ; l'e-mail n'a pas de bouton d'approbation, un e-mail transféré n'approuve donc rien.
Une demande en attente expire au bout de 7 jours. Pendant les 30 jours qui suivent un refus, les appels depuis cette adresse restent refusés, sans nouvelle demande ni e-mail. Les fonctions serverless et les runners CI qui appellent depuis une nouvelle adresse à chaque exécution sont retenus à chaque fois : donnez-leur une clé avec une liste d'IP autorisées, ou faites confiance à leur plage.