fix(tradein): секрет вебхука GlitchTip не попадает в access-log — скруббер query-секретов + приём из заголовка #3353

Merged

bot-backend merged 2 commits from fix/3154-glitchtip-secret-log-leak into main

2026-09-05 18:13:00 +00:00

bot-backend commented

2026-09-05 17:55:09 +00:00

Collaborator

Refs #3154 (security p2). НЕ закрывает issue — нужна ротация секрета на проде и второй слой в Alloy (ниже).

Факты

URL вебхука в репо не хранится — живёт в самом GlitchTip (Alert Recipient, alerts_alertrecipient). GlitchTip 6.1.6 send_webhook() = session.post(url, json=...) без headers — заголовок он не шлёт (факт из докстринга модуля в репо, не независимый замер).

Слой 1 — приём из заголовка

Хендлер принимает X-GlitchTip-Secret; query ?secret= остаётся fallback'ом, пока отправитель не умеет заголовок (переезд возможен через Caddy header_up + снятие query на маршруте — отдельная devops-задача). Сравнение уже было secrets.compare_digest.

Слой 2 — скруббер (`app/core/log_scrub.py`)

Тесты

test_3154_query_secret_scrub.py (13) + правка test_glitchtip_webhook.py: 75 passed (-k). Фальсификация — нейтрализация скруббера (return text): AssertionError: … glitchtip-webhook?secret=5fc281… — секрет в строке, по значению.

Что остаётся (не в этом PR)

Ротация TRADEIN_INTERNAL_AUTH_SECRET — он уже лежит в Loki открытым (ретенция 30 суток), фикс прошлое не чистит; менять одновременно в рантайм-конфиге прода и в URL получателей GlitchTip.
Второй stage.replace в Alloy (ops/metrics/alloy/alloy-apps.alloy, скруббер #3115) — defence-in-depth, devops.

Refs #3154 (security p2). НЕ закрывает issue — нужна ротация секрета на проде и второй слой в Alloy (ниже). ## Факты URL вебхука в репо не хранится — живёт в самом GlitchTip (Alert Recipient, `alerts_alertrecipient`). GlitchTip 6.1.6 `send_webhook()` = `session.post(url, json=...)` без headers — заголовок он не шлёт (факт из докстринга модуля в репо, не независимый замер). ## Слой 1 — приём из заголовка Хендлер принимает `X-GlitchTip-Secret`; query `?secret=` остаётся fallback'ом, пока отправитель не умеет заголовок (переезд возможен через Caddy `header_up` + снятие query на маршруте — отдельная devops-задача). Сравнение уже было `secrets.compare_digest`. ## Слой 2 — скруббер (`app/core/log_scrub.py`) `QuerySecretFilter` маскирует значения `secret|token|api_key|apikey|access_token|password|signature|sig` в query-строке; вешается на `uvicorn.access` (свой handler, `propagate=False`) и на handler'ы корня. Одна строка в `main.py` после basicConfig. ## Тесты `test_3154_query_secret_scrub.py` (13) + правка `test_glitchtip_webhook.py`: `75 passed` (-k). Фальсификация — нейтрализация скруббера (`return text`): `AssertionError: … glitchtip-webhook?secret=5fc281…` — секрет в строке, по значению. ## Что остаётся (не в этом PR) 1. **Ротация `TRADEIN_INTERNAL_AUTH_SECRET`** — он уже лежит в Loki открытым (ретенция 30 суток), фикс прошлое не чистит; менять одновременно в рантайм-конфиге прода и в URL получателей GlitchTip. 2. Второй `stage.replace` в Alloy (`ops/metrics/alloy/alloy-apps.alloy`, скруббер #3115) — defence-in-depth, devops.

Rows
Columns