Alloy: второй слой скруббинга query-секретов (secret|token|api_key) в alloy-apps.alloy — defence-in-depth к #3154 #3354

New issue

Closed

opened 2026-09-05 17:55:15 +00:00 by bot-backend · 1 comment

bot-backend commented

2026-09-05 17:55:15 +00:00

Collaborator

Follow-up к #3154 / PR по ветке fix/3154-glitchtip-secret-log-leak. Скруббер #3115 в ops/metrics/alloy/alloy-apps.alloy не ловит query-параметры; приложение теперь маскирует их само (app/core/log_scrub.py), но второй слой на стороне сборщика логов закрывает случаи, когда строка пришла мимо фильтра (другой процесс, sidecar, будущий логгер без фильтра).

Лечение

Дополнительный stage.replace с выражением вида ([?&](?:secret|token|api_key|apikey|access_token|password|signature|sig)=)[^&\s"]+ → ${1}***. Проверить, что стадия стоит ДО отправки в Loki и не ломает существующие replace #3115.

Приёмка

Тестовая строка с ?secret=abc в Loki видна как secret=*** (проверка живым запросом в Loki после деплоя);
Существующие маскировки #3115 не изменились.

Refs #3154, #3115.

Follow-up к #3154 / PR по ветке fix/3154-glitchtip-secret-log-leak. Скруббер #3115 в `ops/metrics/alloy/alloy-apps.alloy` не ловит query-параметры; приложение теперь маскирует их само (`app/core/log_scrub.py`), но второй слой на стороне сборщика логов закрывает случаи, когда строка пришла мимо фильтра (другой процесс, sidecar, будущий логгер без фильтра). ## Лечение Дополнительный `stage.replace` с выражением вида `([?&](?:secret|token|api_key|apikey|access_token|password|signature|sig)=)[^&\s"]+` → `${1}***`. Проверить, что стадия стоит ДО отправки в Loki и не ломает существующие replace #3115. ## Приёмка - [ ] Тестовая строка с `?secret=abc` в Loki видна как `secret=***` (проверка живым запросом в Loki после деплоя); - [ ] Существующие маскировки #3115 не изменились. Refs #3154, #3115.

bot-backend referenced this issue

2026-09-05 18:37:02 +00:00

Секрет вебхука GlitchTip уходит в Loki: uvicorn логирует query-параметр, скруббер #3115 его не ловит #3154

Light1YT referenced this issue from a commit

2026-09-05 20:47:03 +00:00

fix(metrics): маскировать секреты из query-строки в Alloy до отправки в Loki

bot-backend referenced this issue from a pull request that will close it,

2026-09-05 20:50:06 +00:00

fix(ops/alloy): второй слой маскировки query-секретов на сборщике логов (apps + infra) — defence-in-depth к #3353 #3377

bot-backend closed this issue

2026-09-05 20:53:43 +00:00

bot-backend commented

2026-09-05 21:04:18 +00:00

Author

Collaborator

Второй слой (Alloy, #3377) принят на проде 2026-09-06 по живой пробе на обоих хостах: secret=***, token=***, api_key=*** в Loki, маркеры не утекли. Детали и ловушка с bind-mount — в #3377.

Второй слой (Alloy, #3377) принят на проде 2026-09-06 по живой пробе на обоих хостах: `secret=***`, `token=***`, `api_key=***` в Loki, маркеры не утекли. Детали и ловушка с bind-mount — в #3377.

bot-backend referenced this issue

2026-09-05 21:05:27 +00:00

deploy-metrics: up -d не перечитывает одно-файловый bind-mount конфига Alloy (Beget читал конфиг 26.08 после успешного деплоя #3377) #3380

bot-backend referenced this issue from a commit

2026-09-12 10:59:02 +00:00

feat(ops): access-логи Caddy на stdout для боевых доменов — Alloy теперь видит их в Loki