الانتقال إلى المحتوى الرئيسي
بيانات الاعتماد التي يمكنك قراءتها من شاشة هي بيانات اعتماد يمكنك تسريبها. بمجرد نسخك مفتاحاً جديداً، نادراً ما تحتاج نصه الصريح مجدداً — تحتاج التعرّف عليه: أي مفتاح هذا، في أي بيئة، أهو الذي يستخدمه الوكيل الفاشل. تجيب وحدة تحكم OrcaRouter ذلك دون إعادة طباعة سرّ عامل أبداً: يُعرض كل مفتاح بشكل مُخفى يبقي ما يكفي من الأحرف للتعرّف عليه ويُخفي الباقي. تغطي هذه الصفحة كيف يبدو الشكل المُخفى، ومتى يُعرض النص الصريح ومتى لا، وكيف تُخفي قيم مفتاح api بأمان في سجلاتك وأدواتك الخاصة.

​
1. لماذا تُخفي قيم مفتاح api عند العرض

المفتاح الكامل بيانات اعتماد حاملة: من يقرأه يستطيع استدعاء البوابة بصفتك، حتى حدود ذلك المفتاح. تُنسَخ عروض وحدة التحكم إلى لقطات شاشة، ومشاركات شاشة، وتذاكر دعم، وتقارير أخطاء باستمرار — فإظهار السرّ الحيّ في قائمة مفاتيح سيحوّل كلاً منها إلى تسريب بيانات اعتماد. يحلّ الإخفاء هذا بفصل حاجتين يُخلَط بينهما عادةً:
  • التعرّف — أي مفتاح هذا؟ تجيبه بصمة مُخفاة مستقرة تقرأها بلمحة.
  • الاستخدام — ما السرّ؟ يُجاب مرة واحدة بالضبط عند الإنشاء، وخلف كشف محكوم بالدور بعد ذلك.
تلبّي وحدة التحكم الحاجة الأولى في كل مكان وتحكم الثانية، فالسطح الافتراضي — قائمة المفاتيح التي تحدّق فيها طوال اليوم — لا يحمل أبداً سرّاً قابلاً للاستخدام.
المفتاح المُخفى ليس بيانات اعتماد عاملة. لا يمكنه مصادقة طلب. فقط النص الصريح الكامل (sk-orca-…) الذي نسخته عند الإنشاء، أو أُعيد كشفه عبر نقطة النهاية المحكومة، يستطيع استدعاء البوابة.

​
2. كيف يبدو الشكل المُخفى

تُظهر وحدة التحكم بادئة العلامة التجارية للمفتاح، ثم سلسلة ثابتة من النجوم، ثم الأحرف الأربعة الأخيرة — يكفي للتمييز بين مفتاحين، لا يكفي لإعادة بناء أيٍّ منهما.
أنشأتتعرض وحدة التحكم
sk-orca-9f3aK2…long…7Qm4sk-orca-9f3****7Qm4
يحتفظ الجزء الأول بالبادئة sk-orca- وبضعة أحرف أولى؛ والأحرف الأربعة الأخيرة هي الذيل الذي ستتعرّف عليه حين تقارن سطر سجل أو خطأ. كل ما بينهما يُطوى إلى قناع ثابت — سلسلة النجوم ثابتة، فعرضها لا يكشف أبداً الطول الحقيقي للمفتاح.
أقرن الذيل المُخفى بوسم environment للمفتاح واسمه حين تحتاج إيجاد مفتاح محدد بسرعة — الذيل الرباعي الأحرف زائد وسم prod / staging غالباً ما يكفي لانتقاء الصحيح من قائمة دون كشف النص الصريح أبداً.

​
3. متى يُعرض النص الصريح — ومتى لا

هناك لحظة واحدة بالضبط يكون فيها المفتاح الكامل ملكك لنسخه، ومسار محكوم واحد لاستعادته مجدداً.
عند سكّك مفتاحاً، تعرض وحدة التحكم النص الصريح الكامل sk-orca-… مرة واحدة. انسخه إلى مدير أسرارك حينها. كل عرض لاحق لذلك المفتاح — القائمة، لوحة التفاصيل، نتائج البحث — يُظهر الشكل المُخفى فقط.
يمكنك إعادة كشف النص الصريح لمفتاح عادي عند الطلب، لكنه إجراء متعمّد خلف دور Developer+ — وليس شيئاً تعرضه القائمة الافتراضية أبداً. إعادة كشف مفتاح ضمن نطاق البوابة (is_firewall_gateway) تتطلب دور Admin (أو Owner)، لأن ذلك الرمز يستطيع قراءة بيانات اعتماد خوادم MCP المسجّلة.
إدراج المفاتيح، فتح تفاصيل مفتاح، البحث، وكل قراءة لكائن الرمز تعيد الشكل المُخفى. لا يُضمَّن النص الصريح أبداً في استجابة قائمة أو بحث.
لأن إعادة الكشف محكومة ولأن مفتاحاً ضمن نطاق البوابة يحتاج Admin ليُقرأ مجدداً، عامِل نسخة وقت الإنشاء كالتقاطك الموثوق الوحيد. احفظه في مدير أسرارك فوراً. إن فقدت النص الصريح لمفتاح عادي يمكنك إعادة كشفه (Developer+)؛ وإن لم تستطع كشفه ولا استرداده، دوّر إلى مفتاح جديد بدلاً من الالتفاف حول مفتاح لم تعد تستطيع قراءته.

​
4. مثال ملموس واحد: تحديد المفتاح المسرّب

لنقل إن تنبيهاً يُطلَق — مفتاح يجري استدعاءات من IP غير متوقع — وسطر السجل يحمل الذيل المُخفى …7Qm4. لا تحتاج النص الصريح للتصرّف:
  1. افتح قائمة المفاتيح بوحدة التحكم (/console/token). يُظهر كل صف بصمته المُخفاة — sk-orca-9f3****7Qm4 ووسم environment الخاص به.
  2. طابق الذيل …7Qm4 (ووسم prod) مع الصف المخالف. الشكل المُخفى هو بالضبط المُعرِّف الذي تحتاجه هنا — لا سرّ مكشوف في القائمة، أو التنبيه، أو لقطة شاشتك له.
  3. عطّل ذلك المفتاح لإيقافه مؤقتاً، أو احذفه لإلغائه نهائياً — كلاهما إجراءان آمنان مُخفىً لا يطبعان النص الصريح أبداً. انظر إدارة المفاتيح و الاستجابة للمفتاح المسرّب.
يجري الفرز بأكمله على البصمة المُخفاة. يبقى النص الصريح في مدير أسرارك حيث ينتمي.

​
5. الإخفاء في سجلاتك وأدواتك الخاصة

تُخفي البوابة أسطحها الخاصة؛ وأنت تتحكم في جانبك. ينطبق المبدأ نفسه على أي مكان قد يهبط فيه مفتاح في حزمتك:
  • لا تسجّل أبداً ترويسة Authorization أو القيمة الخام sk-orca-…. إن كان عليك تسجيل أي مفتاح أجرى استدعاءً، فسجّل نفس الشكل الذي تستخدمه وحدة التحكم — البادئة والأحرف الأربعة الأخيرة — لا السرّ الكامل.
  • خزّن النص الصريح في مدير أسرار فقط، لا في التحكم بالمصدر، أو سجلات CI، أو ملف إعداد مودَع في مستودع. المفتاح مُخفى في وحدة التحكم تحديداً بحيث تكون أنظمتك الخاصة المكان الوحيد الذي يعيش فيه السرّ الحيّ.
  • حدّد نطاق المفاتيح بدقة بحيث يكون حتى مفتاح مسرّب له نطاق انفجار محدود — نموذج واحد، نطاق IP واحد، سقف إنفاق واحد. انظر قائمة تحقّق الاستقلالية الأدنى.
يقلّل الإخفاء انكشاف العرض؛ لا يقلّل قوة مفتاح يتسرّب فعلاً. بصمة مُخفاة في سجل آمنة، لكن المفتاح الحيّ في مدير أسرار لا يزال يصادق بالكامل — ولهذا يهمّ النطاق الضيّق والتدوير السريع بقدر ما يهمّ الإخفاء.

​
6. كيف يلائم هذا بقية نظافة المفاتيح

الإخفاء طبقة واحدة من موقف دفاع متعمّق لبيانات الاعتماد:

إدارة المفاتيح

أنشئ المفاتيح وعطّلها وألغِها — دورة الحياة وراء كل صف مُخفى في القائمة.

كائن الرمز

كل حقل يحمله مفتاح، بما في ذلك الحدود التي تحدّ نطاق انفجار مفتاح مسرّب.

تدوير المفاتيح

التسليم بلا توقف إلى مفتاح جديد حين لا تستطيع استرداد مفتاح قديم أو الوثوق به.

الاستجابة للمفتاح المسرّب

ماذا تفعل لحظة اشتباهك في انكشاف بيانات اعتماد.
للصورة الأكبر لكيفية تداخل المفاتيح والسياسات ومساحات العمل لمنح كل وكيل أضيق هوية، انظر النطاق والمفاتيح. القاعدة بسيطة: تُظهر لك وحدة التحكم ما يكفي للتعرّف على مفتاح ولا يكفي أبداً لتسريب واحد. أبقِ النص الصريح في مدير أسرارك، اعتمد على البصمة المُخفاة في كل مكان آخر، ودوّر لحظة شكّك في هوية مفتاح.