Вы ставите на мониторинг админку, тестовый стенд или API, а монитор сразу краснеет: «недоступен», код 401. При этом сайт работает: вы только что открыли его в браузере и ввели пароль. Монитор пароля не знал. Сервер увидел незнакомого посетителя и вежливо отказал. Ответ 401 Unauthorized значит именно это: «сначала представьтесь».
Раньше обойти это можно было только одним способом: открыть отдельную страницу без пароля и мониторить её. Неудобно, и проверяется не то, что нужно. Теперь монитору можно дать данные для входа, и он будет проверять закрытую страницу так же, как её видите вы.
Что появилось в мониторе
В настройках HTTP-монитора есть блок «Авторизация». В нём два способа входа, их можно сочетать, кроме одного случая: если заданы логин и пароль, заголовок Authorization добавить нельзя.
- Логин и пароль HTTP Basic Auth. Подходит, если браузер показывает системное окно «Введите имя пользователя и пароль». Так обычно закрывают тестовые стенды, служебные разделы и старые админки.
- Свои заголовки запроса, до 10 штук. Подходят, если сервер ждёт токен или ключ:
Authorization: Bearer …для API,X-Api-Keyдля ключа доступа,Cookieдля сессии личного кабинета. Можно задать и другой заголовок, который проверяет ваш сервер, кроме служебных вродеHostиUser-Agent. Полный список — в справке.
Авторизация доступна на тарифах Basic и Pro и в пробном периоде. На Free вместо формы показана короткая подсказка и ссылка на тарифы.
Как настроить мониторинг страницы с авторизацией
- Откройте монитор в списке мониторов и нажмите «Редактировать».
- Проверьте, что адрес начинается с
https://. Для адресовhttp://блок «Авторизация» недоступен: пароль нельзя отправлять открытым текстом. - В блоке «Авторизация» заполните «Логин» и «Пароль», если сайт закрыт Basic Auth.
- Если нужен токен или ключ, нажмите «Добавить заголовок» и укажите имя и значение.
- Нажмите «Сохранить». Со следующей проверки монитор будет входить на страницу с вашими данными.
После сохранения пароль и значения заголовков больше не показываются. Вместо них в полях написано «Пароль задан» и «Задано». Хотите оставить всё как есть — не трогайте пустые поля. Хотите сменить пароль — введите новый.
Совет. Не давайте монитору свой личный пароль администратора. Заведите отдельную учётную запись или токен только на чтение. Тогда у монитора не будет лишних прав, а смена пароля не затронет ваш основной доступ.
Полная инструкция со всеми ограничениями и примерами API есть в справке «Мониторинг страниц с авторизацией».
Как защищены пароль и токены
Пароль от админки — чувствительная вещь, поэтому правила здесь строже, чем у обычной проверки.
- Хранятся зашифрованными. Пароль и значения заголовков используются только для проверок. Посмотреть их нельзя ни в кабинете, ни через API. Логин и имена заголовков видны владельцу монитора.
- Только HTTPS. По
http://данные для входа не отправляются вообще. - Сначала сертификат, потом пароль. Перед отправкой пароля монитор строго проверяет SSL-сертификат сервера. Если сертификат самоподписанный, просрочен, выдан на другой домен или сервер отдаёт неполную цепочку, пароль не уходит, а монитор показывает ошибку SSL. Сертификаты российского удостоверяющего центра НУЦ Минцифры считаются доверенными.
- Только из России. Мониторы с авторизацией проверяются из российского региона — сейчас это Москва. Зарубежные точки проверки для них недоступны. Если вам нужны проверки из нескольких стран, используйте для этого мультирегиональный мониторинг открытых страниц.
- Редирект на чужой адрес — без пароля. Если сервер перенаправляет проверку на другой домен, поддомен, порт или на
http://, пароль и заголовки туда не передаются. - Скриншоты — без авторизации. Если у монитора включены скриншоты, они снимаются без пароля и заголовков. На снимке закрытой страницы вы, скорее всего, увидите окно входа. На статус монитора это не влияет.
Строгая проверка сертификата иногда удивляет: в браузере сайт открывается, а монитор пишет об ошибке SSL. Чаще всего виновата неполная цепочка сертификатов: браузер её молча достраивает, а строгий клиент — нет. Почему так и как это исправить за несколько минут, разобрано в статье «Сайт открывается в браузере, но мониторинг видит ошибку сертификата».
Пример: тестовый стенд и API с токеном
Допустим, у вас интернет-магазин. Новую версию вы сначала выкатываете на тестовый стенд (staging) staging.shop-example.ru, и этот стенд закрыт паролем, чтобы его не нашли поисковики и покупатели. Плюс у магазина есть API для мобильного приложения, api.shop-example.ru/v1/orders, который отвечает только по токену.
Вы заводите два монитора:
- Тестовый стенд. В «Авторизации» указываете логин
monitorи пароль от отдельной учётки, которую создали только для проверок. После следующей проверки монитор станет зелёным. Если после очередной выкладки стенд упадёт, вы узнаете об этом раньше тестировщиков. - API. Добавляете заголовок
Authorizationсо значениемBearerи токеном только на чтение. Если API начнёт отвечать ошибкой или токен перестанет действовать, придёт уведомление.
Чтобы убедиться, что за паролем открылась нужная страница, а не форма входа, добавьте к монитору проверку ключевого слова. Например, слово, которое есть только на главной админки или в ответе API.
Что важно учесть
Быстрое добавление. Если вы добавили адрес через быструю форму в списке мониторов, монитор начинает проверяться сразу и пока без пароля. Закрытая страница ответит 401. По умолчанию уведомление о падении уходит после второй неудачной проверки подряд. Поэтому заполните блок «Авторизация» в форме, которая открывается после добавления, и сохраните. Иначе может прийти уведомление «недоступен», а за ним — «восстановлен».
Смена адреса сервера. Сохранённые пароль и значения заголовков привязаны к серверу: домену, поддомену и порту. Если вы поменяете домен, форма попросит ввести их заново. Так пароль не уйдёт на другой сервер без вашего ведома. Логин и имена заголовков сохранятся. Смена пути на том же сервере, например с /admin на /admin/health, повторного ввода не требует.
Переход на Free. Если оплаченный период закончился, мониторы с авторизацией выключаются. Логин, пароль и заголовки при этом сохраняются. После оплаты Basic или Pro мониторы включатся сами, если позволяет лимит мониторов тарифа. Если хотите оставить монитор на Free, удалите у него авторизацию и включите монитор вручную. Учтите: без пароля закрытая страница ответит 401.
Частые вопросы
Почему монитор показывает 401, хотя сайт открывается?
Монитор приходит на сайт без пароля, как новый посетитель, поэтому закрытая страница отвечает ему 401 Unauthorized. Задайте в блоке «Авторизация» логин и пароль Basic Auth или токен в заголовке, и монитор будет проверять страницу так же, как её видите вы.
Как настроить мониторинг страницы с Basic Auth?
Откройте монитор в личном кабинете, нажмите «Редактировать» и в блоке «Авторизация» заполните логин и пароль. Адрес должен начинаться с https://. После сохранения монитор проверяет страницу с этими данными.
Можно ли мониторить API с токеном?
Да. В блоке «Авторизация» добавьте заголовок, например Authorization со значением Bearer и токеном или X-Api-Key с ключом. Всего можно задать до 10 заголовков. Заголовок Authorization нельзя сочетать с логином и паролем Basic Auth.
На каком тарифе доступна авторизация в мониторе?
На тарифах Basic и Pro и в пробном периоде. На Free авторизация недоступна. При переходе на Free мониторы с авторизацией выключаются, но данные для входа сохраняются.
Где посмотреть сохранённый пароль?
Нигде. Пароль и значения заголовков хранятся зашифрованными и после сохранения не показываются. Если вы забыли пароль, просто задайте новый.
Попробуйте
Откройте список мониторов, выберите монитор, который показывает 401, и заполните блок «Авторизация». Если монитора ещё нет, добавьте сайт по инструкции. Если вы на Free, посмотрите тарифы: авторизация входит в Basic и Pro.
См. также
- Мониторинг страниц с авторизацией — справка — все ограничения, запрещённые заголовки и примеры запросов к API.
- 401 Unauthorized: что значит и как исправить — почему сервер отвечает этим кодом.
- Ошибки SSL-сертификата — что делать, если монитор с авторизацией упал с ошибкой SSL.
- Проверка ключевого слова на странице — как убедиться, что открылась нужная страница, а не форма входа.