Если бот подключён к Slack или Discord, важно сразу ограничить вход в личные сообщения. Иначе боту смогут писать все пользователи, которые до него дотянутся.
Что важно понять сразу
- dmPolicy определяет, кто может писать боту в личку.
- allowFrom задаёт разрешённые источники (пользователи/роли/каналы — в зависимости от канала).
- Без явных ограничений вы рискуете получить нежелательные входящие и лишние действия агента.
Базовый безопасный подход
- Сначала включите режим «только разрешённые».
- Добавьте себя и нужных админов в allowlist.
- Проверьте вход из разрешённого и неразрешённого аккаунта.
- Только после этого расширяйте доступ при необходимости.
Мини-чеклист
- [ ] DM от посторонних не проходит.
- [ ] DM от админа проходит.
- [ ] В логах нет неожиданных inbound-сообщений.
- [ ] Политика доступа задокументирована для команды.
Типичные ошибки
- Оставить «широкий» доступ на этапе теста и забыть закрыть.
- Проверять только своим аккаунтом (ложное ощущение, что всё безопасно).
- Не фиксировать список, кому действительно нужен доступ.
Что делать, если уже был открытый доступ
- Немедленно ужесточить dmPolicy/allowFrom.
- Проверить недавние входящие и действия агента.
- При подозрении на компрометацию — обновить ключи/токены интеграций.
| 
RSS