Мониторинг страниц с авторизацией: Basic Auth и свои заголовки

Обычная проверка Tracker.ru приходит на сайт анонимно — как новый посетитель без логина и cookie. Если страница закрыта паролем, сервер отвечает 401 Unauthorized, и монитор считает её недоступной. Чтобы проверять закрытые разделы — админку, личный кабинет, API или тестовый стенд, — задайте в настройках монитора данные для входа.

Доступны два способа, их можно сочетать:

• HTTP Basic Auth — логин и пароль, когда браузер показывает системное окно входа (так работают auth_basic в nginx и .htpasswd в Apache).
• Свои заголовки запроса — до 10 штук: токен API (Authorization: Bearer …), ключ (X-Api-Key), cookie сессии (Cookie) или любой другой заголовок, который ждёт ваш сервер.

На каких тарифах доступно

Авторизация доступна на платных тарифах Basic и Pro и в пробном периоде. На тарифе Free вместо формы показывается описание возможности и кнопка перехода к тарифам.

Как настроить

1. Откройте монитор в личном кабинете и нажмите «Редактировать».
2. Убедитесь, что адрес начинается с https://, — авторизация передаётся только по HTTPS.
3. Найдите блок «Авторизация» (он есть только у HTTP-мониторов).
4. Для Basic Auth заполните «Логин» и «Пароль».
5. Для заголовка нажмите «Добавить заголовок» и укажите имя и значение, например Authorization и Bearer eyJhbGciOi…. Повторите для остальных заголовков.
6. Нажмите «Сохранить». Со следующей проверки монитор будет отправлять данные для входа.

Совет. Заведите для мониторинга отдельную учётную запись или токен только на чтение. Если данные когда-нибудь придётся сменить, это не затронет ваш основной доступ, а у монитора не будет лишних прав.

Как хранятся логин, пароль и заголовки

• Пароль и значения заголовков хранятся в зашифрованном виде и используются только для проверок.
• После сохранения они больше не показываются — ни в кабинете, ни в ответах API. Вместо пароля вы увидите «Пароль задан», вместо значения заголовка — «Значение задано». Логин и имена заголовков видны владельцу монитора.
• Чтобы оставить сохранённый пароль или значение без изменений, просто не заполняйте поле. Чтобы заменить — введите новое.
• Кнопка «Удалить логин и пароль» убирает Basic Auth, значок корзины у строки — заголовок, «Удалить авторизацию» — всё сразу. Изменения применяются после сохранения.
• Изменить авторизацию может только владелец монитора. Тем, с кем вы поделились монитором, видно только, что авторизация настроена.

Условия хранения и использования этих данных описаны в Условиях использования.

Если вы сменили адрес сервера

Сохранённые пароль и значения заголовков привязаны к адресу сервера — схеме, домену и порту. Если вы меняете домен, поддомен или порт, форма попросит ввести пароль и значения заголовков заново: «Адрес сервера изменён — введите пароль и значения заголовков заново». Так данные для входа не уйдут на другой сервер без вашего ведома. Логин и имена заголовков сохраняются. Смена пути или параметров на том же сервере (/admin → /admin/health) повторного ввода не требует.

Ограничения

Проверка сертификата

Для мониторов с авторизацией Tracker.ru сначала проверяет SSL-сертификат сервера и только потом отправляет пароль и заголовки. Если сертификат самоподписанный, просрочен, выдан на другой домен или сервер не отдаёт полную цепочку сертификатов, данные для входа не отправляются, а монитор переходит в статус «недоступен» с ошибкой SSL. Отключить такую проверку нельзя: иначе пароль мог бы попасть к тому, кто подменил сервер.

Сертификаты российского удостоверяющего центра (НУЦ Минцифры) считаются доверенными — сайты на них проверяются как обычно.

Обратите внимание на неполную цепочку: браузер часто сам достраивает недостающий промежуточный сертификат и открывает сайт без ошибок, а монитор с авторизацией так не делает. Как найти и исправить такие ошибки, читайте в статье про ошибки SSL.

Только российские регионы

Мониторы с авторизацией проверяются только из России — сейчас это регион «Москва». Остальные регионы в настройках такого монитора недоступны. Если у монитора уже выбран зарубежный регион, сохранить авторизацию не получится: сначала уберите этот регион. Подробнее о регионах — в статье про мультирегиональный мониторинг.

Если вы видите предупреждение «Монитор не проверяется: нужен регион в России», выберите регион «Москва» или удалите авторизацию.

Редиректы

Если сервер перенаправляет проверку на другой адрес, пароль и заголовки отправляются, только пока адрес остаётся на том же сервере: та же схема https, тот же домен и порт. При переходе на другой домен, поддомен, порт или на http:// данные для входа на этом и всех следующих шагах не передаются. Если закрытая страница отдаёт редирект на страницу входа другого домена, поставьте на мониторинг конечный адрес.

Запрещённые заголовки

Часть заголовков задаёт сам сервис, переопределить их нельзя: Host, Content-Length, Transfer-Encoding, TE, Trailer, Expect, Connection, Keep-Alive, Upgrade, User-Agent, Accept-Encoding и все заголовки, начинающиеся с Proxy-.

Заголовок Authorization можно задать сам по себе — например, для токена Bearer. Но вместе с логином и паролем Basic Auth он не допускается: «Задайте либо логин и пароль, либо заголовок Authorization».

Скриншоты делаются без авторизации

Если у монитора включены скриншоты, они снимаются без логина, пароля и заголовков. На скриншоте закрытой страницы вы, скорее всего, увидите окно входа или страницу 401 — это нормально и не влияет на статус монитора.

Порядок при быстром добавлении

При быстром добавлении из списка мониторов монитор создаётся сразу и начинает проверяться без авторизации, а затем открывается форма редактирования. Закрытая страница ответит 401. По умолчанию уведомление о падении уходит после второй неудачной проверки подряд, поэтому если не сохранить логин, пароль или заголовки до неё, придёт уведомление о недоступности. После сохранения авторизации следующая проверка пройдёт успешно, и придёт уведомление о восстановлении.

Чтобы обойтись без ложной тревоги:

• сразу после добавления заполните блок «Авторизация» в открывшейся форме и сохраните, или
• создайте монитор через API — одним запросом сразу с данными для входа (пример ниже).

Что будет при переходе на Free

Если тариф закончился или вы перешли на Free, мониторы с авторизацией выключаются. Логин, пароль и заголовки при этом сохраняются. Над формой появится баннер «Монитор выключен: авторизация доступна на тарифах Basic и Pro».

Дальше два варианта:

• Оплатить тариф Basic или Pro — такие мониторы включатся автоматически.
• Удалить авторизацию — монитор можно будет включить и на Free, он станет проверять страницу без пароля.

Пока у монитора есть авторизация, включить его вручную на Free нельзя. Подробнее о смене тарифа — в статье что происходит в конце оплаченного периода.

Через API

Поля авторизации есть в создании и изменении монитора (POST /api/urls, PUT /api/urls/{id}), только для HTTP-мониторов:

Создание монитора сразу с авторизацией:

curl -X POST https://tracker.ru/api/urls \
  -H "Authorization: Bearer <ваш_api_токен>" \
  -H "Content-Type: application/json" \
  -d '{
    "url": "admin.example.com/health",
    "protocol": "https",
    "monitor_type": "http",
    "period": 60,
    "basic_auth_user": "monitor",
    "basic_auth_password": "<пароль>",
    "custom_headers": [
      {"name": "X-Api-Key", "value": "<ключ>"}
    ]
  }'

Первый заголовок Authorization в этом запросе — ваш токен API Tracker.ru, он не имеет отношения к проверяемому сайту.

В ответе пароля и значений заголовков нет — только признаки того, что они заданы:

{
  "has_basic_auth": true,
  "basic_auth_user": "monitor",
  "custom_headers_count": 1,
  "custom_headers": [
    {"name": "X-Api-Key", "has_value": true}
  ]
}

Поля basic_auth_user и custom_headers видит только владелец монитора, has_basic_auth и custom_headers_count — все, у кого есть доступ к монитору.

Как работает изменение:

• custom_headers при изменении заменяет весь набор. Чтобы оставить значение сохранённого заголовка, передайте его имя без value. Новое имя без значения вернёт ошибку.
• Если вы меняете адрес сервера (домен, порт или схему), передайте пароль и значения заголовков заново, иначе запрос вернёт ошибку «URL изменился — введите пароль и значения заголовков заново».
• При переключении монитора на TCP авторизация удаляется.

Пример: заменить ключ и оставить cookie без изменений.

curl -X PUT https://tracker.ru/api/urls/123 \
  -H "Authorization: Bearer <ваш_api_токен>" \
  -H "Content-Type: application/json" \
  -d '{
    "custom_headers": [
      {"name": "X-Api-Key", "value": "<новый_ключ>"},
      {"name": "Cookie"}
    ]
  }'

Частые вопросы

Почему монитор с авторизацией всё равно показывает 401?

Проверьте логин, пароль или токен — возможно, они истекли или были изменены на сервере. Если сервер ждёт токен в заголовке, а вы задали Basic Auth (или наоборот), сервер тоже ответит 401. Подробнее о коде — в статье 401 Unauthorized.

Почему монитор падает с ошибкой SSL, хотя сайт открывается в браузере?

Для мониторов с авторизацией сертификат проверяется строже, чем в браузере: неполная цепочка, самоподписанный или просроченный сертификат не пропускаются, и пароль не отправляется. Исправьте сертификат на сервере — после этого монитор восстановится сам.

Можно ли проверять закрытую страницу из Франкфурта или Минска?

Нет. Мониторы с авторизацией проверяются только из российских регионов.

Где посмотреть сохранённый пароль?

Нигде: после сохранения пароль и значения заголовков не показываются. Если вы его забыли, задайте новый — в форме или через API.

См. также

• Как добавить сайт на мониторинг
• Проверка ключевого слова на странице — убедиться, что за паролем открылась нужная страница, а не форма входа
• Ошибки SSL-сертификата
• Скриншоты страниц