Доступ к админке и API

Пароль администратора и сессия, два статических токена API с разными правами, закрытый /metrics — и почему ни один из них не является доступом к видео.

Гейт управления закрывает панель управления, весь /api/v1/* и /metrics. Это совершенно отдельная подсистема от авторизации просмотра: у неё свой блок конфигурации, свои учётные данные и свои коды ответов.

Блок auth { }#

auth {
    admin_password  "длинный-пароль-администратора";
    session_secret  "общий-секрет-32-и-более-символов";
    admin_ip_bind   off;
    api_read_token  "случайный-токен-только-на-чтение";
    api_write_token "случайный-токен-на-запись";
}

Гейт /api/v1 включается, если задана хотя бы одна из трёх учёток — пароль либо любой из токенов. Настроить один токен и получить открытую панель нельзя.

Если session_secret не задан, он генерируется случайно на каждую загрузку: токены сессий не переживут перезапуск и не примутся другим узлом.

Что печатается при старте#

Ровно одна строка о состоянии гейта и ровно одна о /metrics. Проверено на стенде:

hastreamer: WARNING admin UI + API are UNAUTHENTICATED — anyone who can reach the HTTP port has full read + control access. Set auth.admin_password (or auth.api_read_token / auth.api_write_token) to close the gate.

hastreamer: /metrics is CLOSED (it was public before 2026.08) — it accepts an admin session bearer only. Set auth.api_read_token to give a scraper its own non-admin credential.

hastreamer: /metrics is CLOSED (it was public before 2026.08) — it accepts `Authorization: Bearer` with auth.api_read_token, auth.api_write_token, an admin session token.

Есть и третий вариант первой строки — когда токены заданы, а пароля нет:

hastreamer: note auth.admin_password is unset — /api/v1 is gated by the static API token(s) alone and the admin UI cannot log in (POST /api/v1/auth/login 404s). Set auth.admin_password to restore the UI login.

Ошибки проверки конфигурации#

auth.api_read_token must not be empty (omit it entirely to leave that tier unconfigured)
auth.api_read_token must be at least 16 characters (use a generated random token)
auth.api_read_token and auth.api_write_token must differ (an equal pair silently grants write to the read token)

Порог длины существует потому, что перед этим гейтом нет задержки за неудачные попытки — в отличие от входа по паролю. Единственная защита от перебора — энтропия самого токена:

head -c 24 /dev/urandom | base64 | tr -d '=+/'

kQ8mVt3ZpR7bLxNfA2wYuJd0

Сессия администратора#

POST /api/v1/auth/login#

Без аутентификации — единственный маршрут /api/v1, который никогда не закрыт гейтом.

Меняет пароль на bearer-токен сессии со сроком 12 часов.

TOKEN=$(curl -sS -X POST https://media.example.com/api/v1/auth/login \
  -H 'Content-Type: application/json' \
  -d '{"password":"длинный-пароль-администратора"}' \
  | python3 -c 'import sys,json; print(json.load(sys.stdin)["token"])')

curl -sS https://media.example.com/api/v1/streams -H "Authorization: Bearer $TOKEN"

admin_ip_bind on дополнительно привязывает выданный токен к адресу, с которого выполнен вход: токен, украденный из журнала прокси, с другого адреса не сработает. За обратным прокси это требует корректно заполненного trusted_proxies — иначе привязка закрепится на адресе самого прокси.

Статические токены API#

Отдельная учётка для мониторинга и интеграций: не пароль администратора и не полный доступ. Два уровня, где write включает в себя read.

Проверенная матрица:

R='случайный-токен-только-на-чтение'
W='случайный-токен-на-запись'
B=https://media.example.com

curl -s -o /dev/null -w '%{http_code}\n'      -H "Authorization: Bearer $R" $B/api/v1/streams
curl -s -o /dev/null -w '%{http_code}\n'      "$B/api/v1/streams?token=$R"
curl -s                                       -H "Authorization: Bearer $R" $B/api/v1/config
curl -s -X PATCH -d '{}'                      -H "Authorization: Bearer $R" $B/api/v1/config/globals
curl -s -X POST -d '{"stream":"cam","intent":"live","protocols":["hls"]}' \
                                              -H "Authorization: Bearer $R" $B/api/v1/auth/media-grants
curl -s -o /dev/null -w '%{http_code}\n'      -H "Authorization: Bearer $W" $B/api/v1/config

200
401
{"error":"forbidden","reason":"read_token_cannot_read_config"}
{"error":"forbidden","reason":"read_token_cannot_write"}
{"error":"forbidden","reason":"api_token_is_not_a_media_credential"}
200

Три правила, о которые спотыкаются#

1. Только заголовок Authorization: Bearer. ?token= для статических токенов не принимается — никогда и ни на одном маршруте. Запасной ход через строку запроса существует исключительно для короткоживущего токена сессии и только на GET /api/v1/events, потому что EventSource в браузере не умеет задавать заголовки. Статический токен живёт вечно и не ротируется при использовании: в URL он осядет в журналах прокси, в истории браузера и в заголовке Referer.

Проверено ровно на том маршруте, где послабление есть:

curl -s -o /dev/null -w '%{http_code}\n' "$B/api/v1/events?token=$R"
curl -s -o /dev/null -w '%{http_code}\n' -H "Authorization: Bearer $R" "$B/api/v1/events"

401
200

2. Уровень чтения не видит GET /api/v1/config. Этот ответ отдаёт текст конфигурации дословно — вместе с admin_password, api_write_token, секретом auth_backend и учётными данными камер в URL источников. Прочитать его значило бы за один запрос выйти из режима «только чтение». Уровню записи чтение оставлено: он и так может переписать этот файл.

Правило применяется к фактической цели запроса, а не к его пути: обращение через маршрут-перенаправитель GET /api/v1/fleet/self/config даёт тот же 403 с той же причиной (проверено).

3. Отказ по недостатку прав — 403, а не 401. Учётные данные подлинные, не хватает уровня; 401 заставил бы корректный клиент вечно повторять тот же самый токен. 401 остаётся за «ничего не предъявлено или не совпало».

/metrics закрыт теми же учётными данными#

curl -s -o /dev/null -w '%{http_code}\n' https://media.example.com/metrics
curl -s -o /dev/null -w '%{http_code}\n' -H "Authorization: Bearer $R" https://media.example.com/metrics

401
200

Экспозиция называет каждый поток, состояние его источника, число зрителей и загрузку хоста — то же операционное раскрытие, ради которого закрыт /api/v1. Арки «не настроено — значит открыто» здесь нет: узел без единой учётки отвечает 401 каждому запросу.

Настройте сборщику метрик собственный api_read_token и передавайте его заголовком: ?token= не принимается и здесь.

Выпуск медиа-гранта для встроенного плеера#

POST /api/v1/auth/media-grants#

Администратор — только сессия; оба статических токена получают 403.

Единственный встроенный в продукт способ выпустить медиа-credential. Им пользуется плеер панели управления, чтобы посмотреть закрытый поток, не превращая админ-сессию в доступ к видео.

Тело запроса — не более 4 КиБ, все поля обязательны, лишние отвергаются:

curl -sS -X POST https://media.example.com/api/v1/auth/media-grants \
  -H "Authorization: Bearer $TOKEN" \
  -H 'Content-Type: application/json' \
  -d '{"stream":"cam","intent":"live","protocols":["hls"]}'

{"token":"eyJhbGciOiJIUzI1NiIsInR5cCI6Imhhc3RyZWFtZXItbWVkaWEtZ3JhbnQrand0IiwidiI6MX0…",
 "expires_at":1787143783,"server_time":1787143483,"ttl_secs":300,
 "session_expires_at":1787143783}

Срок жизни фиксирован — 300 секунд, изменить его нельзя. Грант привязан к точному ресурсу, к точному набору протоколов и к адресу клиента; подписан он отдельным ключом со своим типом токена, поэтому в клиентский бэкенд авторизации никогда не проваливается.

Аварийный отзыв всех сессий просмотра#

POST /api/v1/auth/rotate-session-keys#

Администратор

Заводит новый ключ подписи билетов. Предыдущий остаётся в ограниченном окне проверки (до трёх), чтобы уже идущие сессии не оборвались мгновенно; билеты под выпавшим ключом перестают работать. Тело запроса не требуется.

curl -sS -X POST https://media.example.com/api/v1/auth/rotate-session-keys \
  -H "Authorization: Bearer $TOKEN"

Что публично намеренно#

Проверка#

curl -s -o /dev/null -w '%{http_code}\n' https://media.example.com/api/v1/streams
curl -s -o /dev/null -w '%{http_code}\n' https://media.example.com/metrics
curl -s -H "Authorization: Bearer $R" https://media.example.com/api/v1/config

401
401
{"error":"forbidden","reason":"read_token_cannot_read_config"}