Como parte do nosso compromisso de melhorar continuamente nossos métodos e práticas de segurança, temos o prazer de apresentar alterações na API de publicação para desenvolvedores de extensões Edge. Essas alterações fazem parte da Microsoft Safe Future Initiative e foram projetadas para aprimorar a segurança de suas extensões e agilizar o processo de publicação de extensões.
Nesta postagem do weblog, orientaremos você pelos principais recursos de segurança introduzidos com a nova API de publicação, como ela difere da API atual e como os desenvolvedores de extensões podem facilmente aceitar e usar a nova experiência.
Principais melhorias de segurança
A nova API de publicação oferece os seguintes aprimoramentos importantes:
- Geração aprimorada de chave de API
Os segredos agora são chaves de API. Com a nova API Publish, a chave API é gerada automaticamente pelos nossos serviços de back-end. Isso significa que as chaves ClientId e API são regeneradas para cada desenvolvedor, aumentando assim a segurança ao reduzir a dependência de credenciais estáticas.
- Gerenciamento de chaves de API
Em vez de criar e excluir segredos do registro do App, a nova experiência envolve criar e excluir hashes de chaves de API no banco de dados. Esta abordagem garante que informações confidenciais não sejam armazenadas diretamente, aumentando ainda mais a segurança.
- URL do token de acesso
A nova API de publicação não exige o envio de um URL de token de acesso. O URL agora é gerado internamente. Observe que essa alteração pode exigir que você atualize as configurações do pipeline de CI/CD, mas reduz bastante o risco de exposição de informações confidenciais.
- Expiração da chave API
As chaves de API agora expiram a cada 72 dias, em comparação com o período de expiração anterior de 2 anos. Essa alteração garante que as chaves de API sejam alternadas com mais frequência, reduzindo o risco de credenciais comprometidas. Você receberá notificações regulares por e-mail antes que sua chave de API expire.
Aqui está o que Publicar API a página aparece quando você entra no Associate Heart. Para efeito de comparação, a primeira captura de tela abaixo mostra a experiência atual e a segunda captura de tela mostra a nova versão:
Put together-se para a nova experiência da API de publicação
O uso da nova API de publicação requer algumas alterações no fluxo de trabalho de desenvolvimento. Veja como começar:
- Como desenvolvedor, você aceita a nova experiência de gerenciamento de chaves de API no Associate Heart.
- Em seguida, gere novamente seu ClientId e seus segredos, o que pode exigir atualizações em seus fluxos de trabalho de autenticação.
- Por fim, reconfigure quaisquer pipelines de CI/CD existentes que possam ser afetados pelas alterações no URL do token de acesso e na chave de API.
No Associate Heart, depois de aceitar, você será guiado pelas etapas para regenerar seu ClientId e sua chave de API. Para saber mais, consulte Usando a API REST para atualizar complementos do Microsoft Edge.
Para minimizar a interrupção da mudança para a nova API de publicação, tornamos esta experiência opcional. Isso permite que você faça a transição para a nova experiência em seu próprio ritmo. Se necessário, você também pode cancelar e reverter para a experiência anterior, embora encorajemos todos a fazerem a transição para a nova experiência mais segura o mais rápido possível.
As melhorias de segurança fornecidas com a nova API de publicação ajudarão a proteger suas extensões e a melhorar a segurança do processo de publicação.
Se você tiver alguma dúvida ou suggestions, entre em contato conosco abrindo o problema em nosso repositório GitHub.
