نکات امنیتی Repro Mode در Postman Insights

وقتی Repro Mode فعال باشد، Postman Insights Agent داده‌های Header و Payload مربوط به درخواست‌هایی را که خطا دارند آپلود می‌کند. این اطلاعات در Postman Cloud ذخیره می‌شود و هر کاربری که در پروژه Postman Insights دسترسی Viewer داشته باشد می‌تواند آن را ببیند.

داده‌های احراز هویت و قالب‌های شناخته‌شده Credential قبل از ارسال پنهان‌سازی می‌شوند. همچنین هر فیلدی که در Settings پروژه برای Redaction تعریف کرده باشید پنهان می‌شود. با این حال، اگر Payload شامل نوع دیگری از اطلاعات حساس باشد، یا Header احراز هویتی داشته باشد که Scanner پست‌من آن را نشناسد، ممکن است آن داده به Postman ارسال شود و تا ۳۰ روز ذخیره بماند.

وقتی Repro Mode خاموش است #

وقتی Repro Mode خاموش باشد، کلاینت Insights Agent قبل از ارسال داده به Postman همه مقدارهای داده‌ای را از ترافیک مشاهده‌شده حذف می‌کند. این حذف شامل Query Parameterها، Headerهای درخواست و پاسخ، و مقدارهای داخل JSON و YAML در درخواست و پاسخ است. شناسه‌ها حذف نمی‌شوند، اما مقدارها حذف می‌شوند.

تشخیص ساختار و قالب داده روی سمت کلاینت انجام می‌شود؛ یعنی قبل از اینکه مقدارهای خام حذف شوند. در نتیجه Postman Cloud مقدارهای خام را نمی‌بیند.

وقتی Repro Mode روشن است #

وقتی Repro Mode با فلگ --repro-mode فعال شود، Insights Agent علاوه بر رفتار معمول، داده Payload را برای درخواست‌های HTTP با کد پاسخ 4xx یا 5xx نگه می‌دارد. Agent یک فهرست داخلی از کلیدواژه‌های حساس مانند x-api-key دارد و Headerها، Query Parameterها و بخش‌هایی از بدنه درخواست یا پاسخ را که حساس تشخیص داده شوند پنهان می‌کند. Insights مقدارهای حساس را به رشته *REDACTED* تبدیل می‌کند.

کلاینت Insights Agent همچنان پیش از ارسال داده به Postman مقدارهای مشاهده‌شده را حذف یا مبهم‌سازی می‌کند. تشخیص قالب داده سمت کلاینت انجام می‌شود و مقدارهای مشترک به Postman Cloud ارسال نمی‌شوند. ارسال داده‌های مبهم‌سازی‌شده به Postman از طریق HTTPS و TLS انجام می‌شود.

پیشنهاد امنیتی #

برای امنیت بیشتر، بهتر است برای پروژه Insights یک Workspace جداگانه بسازید و آن را فقط برای کاربرانی قابل مشاهده کنید که اجازه دیدن Payloadها را دارند. برای اطلاعات بیشتر، به مستندات ساخت Workspace و مدیریت منابع تیم در Postman مراجعه کنید.

منبع آموزشی: Postman Docs، بازنویسی و ساده‌سازی‌شده برای کاربران فارسی‌زبان.