Sécurité et limites
Le proxy est conçu pour qu’un service lié puisse intégrer vos API sans les exposer :
- Côté serveur uniquement — les requêtes partent des serveurs de Seekdown : votre endpoint et
ses identifiants ne sont donc jamais révélés à la page ni au visiteur.
- Adresses publiques uniquement — un service lié ne peut atteindre que des hôtes publics sur internet.
Les requêtes vers des adresses privées, de réseau interne ou de loopback sont rejetées : le proxy ne peut donc pas être dirigé vers une infrastructure interne.
- Assistants uniquement — les services liés fonctionnent sur les assistants, pas sur les centres de recherche.
- Méthodes autorisées —
GET,POST,PUTetDELETE. - Délai d’expiration des requêtes — un appel qui ne répond pas en une minute environ est interrompu.
- Les valeurs dynamiques sont cloisonnées — une valeur
{{params.x}}est encodée dans l’URL et débarrassée des
caractères de contrôle dans les en-têtes : elle ne peut donc pas injecter de chemin, de query ou d’en-têtes supplémentaires. Les espaces réservés ne sont autorisés que dans le chemin, la query ou une valeur d’en-tête — jamais dans l’hôte — si bien qu’une valeur ne peut jamais rediriger la requête. Si un paramètre référencé n’est pas fourni, l’appel échoue au lieu d’envoyer une requête partielle.
Dépannage
- L’appel échoue immédiatement — vérifiez que l’URL est une adresse publique
https://; les hôtes internes ou
privés sont bloqués par conception.
- L’endpoint renvoie « unauthorized » — vérifiez que le Header name correspond à ce qu’attend votre API
et que le secret stocké est à jour. En cas de doute, utilisez Remove stored secret et redéfinissez-le.
- Rien ne se passe à l’envoi — vérifiez que l’action ou le formulaire appelle bien
executeProxyRequest (ou sendProxyForm) avec le Service ID exact.