En-têtes HTTP personnalisés pour l'authentification

3 min de lecture

Certains endpoints API nécessitent une authentification via Bearer token, clé API ou signature HMAC. Les en-têtes personnalisés permettent la surveillance des endpoints protégés.

Configuration

Dans le détail du moniteur HTTP -> onglet Avancé -> En-têtes personnalisés :

Authorization: Bearer plz_a1b2c3d4...
X-API-Key: sk_live_abc123
User-Agent: ePulz.io-Monitor/1.0

Un en-tête par ligne, format Name: Value.

Usages courants

• Bearer token : Authorization: Bearer <TOKEN>
• Basic auth : Authorization: Basic dXNlcjpwYXNz (base64 de user:pass)
• API Key dans un en-tête personnalisé : X-API-Key: ...
• User-Agent personnalisé : identification dans les logs serveur (pour que votre équipe dev sache que ce n'est pas une attaque)

Recommandations de sécurité

• Créez un token dédié en lecture seule - pas un token admin. Si le monitoring fuit, les données de production ne s'échapperont pas.
• Faites tourner le token tous les 3-6 mois même sans soupçon
• Le token est stocké en DB en clair (à cause de l'envoi à chaque vérification). N'utilisez pas les identifiants master de production.
• Les en-têtes ne s'affichent qu'à l'admin lors de l'édition. Dans les logs, la valeur est masquée sur les 6 premiers caractères + "...".