Авторизациясы бар беттерді мониторингтеу: Basic Auth және өз тақырыптамаларыңыз

Tracker.ru-дың әдеттегі тексерісі сайтқа анонимді түрде келеді — логині мен cookie жоқ жаңа келуші сияқты. Егер бет құпиясөзбен жабылса, сервер 401 Unauthorized деп жауап береді, ал монитор оны қолжетімсіз деп санайды. Жабық бөлімдерді — админканы, жеке кабинетті, API-ді немесе тест стендін — тексеру үшін монитор баптауларында кіру деректерін беріңіз.

Екі тәсіл бар, оларды бірге қолдануға болады:

• HTTP Basic Auth — браузер жүйелік кіру терезесін көрсететін сайттарға арналған логин мен құпиясөз (nginx-тегі auth_basic және Apache-тағы .htpasswd осылай жұмыс істейді).
• Өз сұрау тақырыптамаларыңыз — 10-ға дейін: API токені (Authorization: Bearer …), кілт (X-Api-Key), сессия cookie (Cookie) немесе серверіңіз күтетін кез келген басқа тақырыптама.

Қай тарифтерде қолжетімді

Авторизация Basic және Pro ақылы тарифтерінде және сынақ кезеңінде қолжетімді. Free тарифінде форманың орнына мүмкіндік сипаттамасы және тарифтерге өту батырмасы көрсетіледі.

Қалай баптау керек

1. Жеке кабинетте мониторды ашып, «Өңдеу» батырмасын басыңыз.
2. Мекенжай https://-тен басталатынына көз жеткізіңіз — авторизация тек HTTPS арқылы жіберіледі.
3. «Авторизация» блогын табыңыз (ол тек HTTP-мониторларда бар).
4. Basic Auth үшін «Логин» мен «Құпиясөз» өрістерін толтырыңыз.
5. Тақырыптама үшін «Тақырыптама қосу» батырмасын басып, атауы мен мәнін көрсетіңіз, мысалы Authorization және Bearer eyJhbGciOi…. Қалған тақырыптамалар үшін қайталаңыз.
6. «Сақтау» батырмасын басыңыз. Келесі тексерістен бастап монитор кіру деректерін жібереді.

Кеңес. Мониторинг үшін тек оқуға арналған жеке есептік жазба немесе токен жасаңыз. Деректерді ауыстыру қажет болса, бұл негізгі қолжетімділігіңізге әсер етпейді, ал мониторда артық құқықтар болмайды.

Логин, құпиясөз және тақырыптамалар қалай сақталады

• Құпиясөз бен тақырыптама мәндері шифрланған түрде сақталады және тек тексерістер үшін қолданылады.
• Сақталғаннан кейін олар енді көрсетілмейді — кабинетте де, API жауаптарында да. Құпиясөздің орнына «Құпиясөз берілген», тақырыптама мәнінің орнына «Мәні берілген» деп көрсетіледі. Логин мен тақырыптама атауларын монитор иесі көреді.
• Сақталған құпиясөзді немесе мәнді өзгертпеу үшін өрісті бос қалдырыңыз. Ауыстыру үшін жаңасын енгізіңіз.
• «Логин мен құпиясөзді жою» Basic Auth-ты алып тастайды, жол жанындағы себет белгісі — тақырыптаманы, «Авторизацияны жою» — бәрін бірден. Өзгерістер сақтағаннан кейін қолданылады.
• Авторизацияны тек монитор иесі өзгерте алады. Мониторды бөліскен адамдар тек авторизацияның бапталғанын көреді.

Бұл деректерді сақтау және пайдалану шарттары Пайдалану шарттарында сипатталған.

Сервер мекенжайын өзгертсеңіз

Сақталған құпиясөз бен тақырыптама мәндері сервер мекенжайына — схемаға, доменге және портқа байланған. Доменді, ішкі доменді немесе портты өзгертсеңіз, форма құпиясөзді және тақырыптама мәндерін қайта енгізуді сұрайды: «Сервер мекенжайы өзгерді — құпиясөзді және тақырыптама мәндерін қайта енгізіңіз». Осылайша кіру деректері сіздің келісіміңізсіз басқа серверге кетпейді. Логин мен тақырыптама атаулары сақталады. Сол сервердегі жолды немесе параметрлерді өзгерту (/admin → /admin/health) қайта енгізуді қажет етпейді.

Шектеулер

Сертификатты тексеру

Авторизациясы бар мониторлар үшін Tracker.ru алдымен сервердің SSL-сертификатын тексереді, содан кейін ғана құпиясөз бен тақырыптамаларды жібереді. Егер сертификат өздігінен қол қойылған, мерзімі өткен, басқа доменге берілген болса немесе сервер сертификаттардың толық тізбегін бермесе, кіру деректері жіберілмейді, ал монитор SSL қатесімен «қолжетімсіз» күйіне өтеді. Бұл тексерісті өшіруге болмайды: әйтпесе құпиясөз серверді алмастырған адамның қолына түсуі мүмкін.

Ресейлік куәландырушы орталықтың (Цифрлық даму министрлігінің НУЦ) сертификаттары сенімді болып саналады — мұндай сайттар әдеттегідей тексеріледі.

Толық емес тізбекке назар аударыңыз: браузер жетіспейтін аралық сертификатты жиі өзі толықтырып, сайтты қатесіз ашады, ал авторизациясы бар монитор олай жасамайды. Мұндай қателерді қалай табу және түзету керектігін SSL қателері туралы мақаладан оқыңыз.

Тек ресейлік аймақтар

Авторизациясы бар мониторлар тек Ресейден тексеріледі — қазір бұл «Мәскеу» аймағы. Мұндай монитордың баптауларында басқа аймақтар қолжетімсіз. Егер мониторда шетелдік аймақ таңдалып қойылса, авторизацияны сақтау мүмкін болмайды: алдымен сол аймақты алып тастаңыз. Аймақтар туралы толығырақ — көпаймақтық мониторинг туралы мақалада.

Егер «Монитор тексерілмейді: Ресейдегі аймақ қажет» деген ескертуді көрсеңіз, «Мәскеу» аймағын таңдаңыз немесе авторизацияны жойыңыз.

Редиректтер

Егер сервер тексерісті басқа мекенжайға бағыттаса, құпиясөз бен тақырыптамалар мекенжай сол серверде қалғанша ғана жіберіледі: сол https схемасы, сол домен және порт. Басқа доменге, ішкі доменге, портқа немесе http://-ге өткенде кіру деректері осы және кейінгі барлық қадамдарда берілмейді. Егер жабық бет басқа домендегі кіру бетіне бағыттаса, мониторингке соңғы мекенжайды қойыңыз.

Тыйым салынған тақырыптамалар

Кейбір тақырыптамаларды сервистің өзі береді, оларды қайта анықтауға болмайды: Host, Content-Length, Transfer-Encoding, TE, Trailer, Expect, Connection, Keep-Alive, Upgrade, User-Agent, Accept-Encoding және Proxy--ден басталатын барлық тақырыптамалар.

Authorization тақырыптамасын жеке беруге болады — мысалы, Bearer токені үшін. Бірақ Basic Auth логині мен құпиясөзімен бірге оған рұқсат етілмейді: не логин мен құпиясөзді, не Authorization тақырыптамасын беріңіз.

Скриншоттар авторизациясыз түсіріледі

Егер мониторда скриншоттар қосылса, олар логинсіз, құпиясөзсіз және тақырыптамаларсыз түсіріледі. Жабық беттің скриншотында, мүмкін, кіру терезесін немесе 401 бетін көресіз — бұл қалыпты жағдай және монитор күйіне әсер етпейді.

Жылдам қосу кезіндегі тәртіп

Мониторлар тізімінен жылдам қосқанда монитор бірден жасалады және авторизациясыз тексеріле бастайды, содан кейін өңдеу формасы ашылады. Жабық бет 401 деп жауап береді. Әдепкі бойынша құлау туралы хабарлама қатарынан екінші сәтсіз тексерістен кейін жіберіледі, сондықтан оған дейін логинді, құпиясөзді немесе тақырыптамаларды сақтамасаңыз, қолжетімсіздік туралы хабарлама келеді. Авторизацияны сақтағаннан кейін келесі тексеріс сәтті өтеді және қалпына келу туралы хабарлама келеді.

Жалған дабылсыз өту үшін:

• қосқаннан кейін бірден ашылған формадағы «Авторизация» блогын толтырып, сақтаңыз, немесе
• мониторды API арқылы жасаңыз — бір сұраумен бірден кіру деректерімен (мысал төменде).

Free тарифіне өткенде не болады

Егер тариф аяқталса немесе Free тарифіне өтсеңіз, авторизациясы бар мониторлар өшіріледі. Логин, құпиясөз және тақырыптамалар сақталады. Форманың үстінде «Монитор өшірілген: авторизация Basic және Pro тарифтерінде қолжетімді» деген баннер пайда болады.

Әрі қарай екі нұсқа бар:

• Basic немесе Pro тарифін төлеу — мұндай мониторлар автоматты түрде қосылады.
• Авторизацияны жою — мониторды Free тарифінде де қосуға болады, ол бетті құпиясөзсіз тексереді.

Мониторда авторизация болғанда, оны Free тарифінде қолмен қосуға болмайды. Толығырақ — төленген кезең соңында не болады мақаласында.

API арқылы

Авторизация өрістері мониторды жасау және өзгерту кезінде бар (POST /api/urls, PUT /api/urls/{id}), тек HTTP-мониторлар үшін:

Мониторды бірден авторизациямен жасау:

curl -X POST https://tracker.ru/api/urls \
  -H "Authorization: Bearer <api_токеніңіз>" \
  -H "Content-Type: application/json" \
  -d '{
    "url": "admin.example.com/health",
    "protocol": "https",
    "monitor_type": "http",
    "period": 60,
    "basic_auth_user": "monitor",
    "basic_auth_password": "<құпиясөз>",
    "custom_headers": [
      {"name": "X-Api-Key", "value": "<кілт>"}
    ]
  }'

Бұл сұраудағы бірінші Authorization тақырыптамасы — сіздің Tracker.ru API токеніңіз, оның тексерілетін сайтқа қатысы жоқ.

Жауапта құпиясөз бен тақырыптама мәндері жоқ — тек олардың берілгенін көрсететін белгілер:

{
  "has_basic_auth": true,
  "basic_auth_user": "monitor",
  "custom_headers_count": 1,
  "custom_headers": [
    {"name": "X-Api-Key", "has_value": true}
  ]
}

basic_auth_user және custom_headers өрістерін тек монитор иесі көреді, has_basic_auth және custom_headers_count — мониторға қолжетімділігі бар барлық адамдар.

Өзгерту қалай жұмыс істейді:

• Өзгерту кезінде custom_headers бүкіл жиынды ауыстырады. Сақталған тақырыптаманың мәнін қалдыру үшін оның атауын value-сыз жіберіңіз. Мәнсіз жаңа атау қате қайтарады.
• Сервер мекенжайын (доменді, портты немесе схеманы) өзгертсеңіз, құпиясөз бен тақырыптама мәндерін қайта жіберіңіз, әйтпесе сұрау қате қайтарады.
• Мониторды TCP-ге ауыстырғанда авторизация жойылады.

Мысал: кілтті ауыстырып, cookie-ді өзгеріссіз қалдыру.

curl -X PUT https://tracker.ru/api/urls/123 \
  -H "Authorization: Bearer <api_токеніңіз>" \
  -H "Content-Type: application/json" \
  -d '{
    "custom_headers": [
      {"name": "X-Api-Key", "value": "<жаңа_кілт>"},
      {"name": "Cookie"}
    ]
  }'

Жиі қойылатын сұрақтар

Неліктен авторизациясы бар монитор бәрібір 401 көрсетеді?

Логинді, құпиясөзді немесе токенді тексеріңіз — олардың мерзімі өтуі немесе серверде өзгертілуі мүмкін. Егер сервер токенді тақырыптамада күтсе, ал сіз Basic Auth берсеңіз (немесе керісінше), сервер де 401 деп жауап береді. Код туралы толығырақ — 401 Unauthorized мақаласында.

Сайт браузерде ашылса да, монитор неге SSL қатесімен құлайды?

Авторизациясы бар мониторлар үшін сертификат браузерге қарағанда қатаңырақ тексеріледі: толық емес тізбек, өздігінен қол қойылған немесе мерзімі өткен сертификат өткізілмейді, ал құпиясөз жіберілмейді. Сервердегі сертификатты түзетіңіз — осыдан кейін монитор өзі қалпына келеді.

Жабық бетті Франкфурттан немесе Минскіден тексеруге бола ма?

Жоқ. Авторизациясы бар мониторлар тек ресейлік аймақтардан тексеріледі.

Сақталған құпиясөзді қайдан көруге болады?

Ешқайдан: сақталғаннан кейін құпиясөз бен тақырыптама мәндері көрсетілмейді. Ұмытып қалсаңыз, жаңасын формада немесе API арқылы беріңіз.

Сондай-ақ қараңыз

• Сайтты мониторингке қалай қосу керек
• Беттегі кілт сөзді тексеру — құпиясөздің артында кіру формасы емес, қажетті бет ашылғанына көз жеткізу
• SSL-сертификат қателері
• Бет скриншоттары