Выбран небезопасный способ передачи SERVER_KEY

[sofieremi]

trafficstars

Ключ, токен и IP-адрес пользователя отправляются на проверку GET - запросом, что является очень небезопасным способом передачи секретной информации, так как она простым образом может быть скомпрометирована

def check_captcha(token): resp = requests.get( "https://captcha-api.yandex.ru/validate", { "secret": SMARTCAPTCHA_SERVER_KEY, "token": token, "ip": "<IP-адрес_пользователя>"
}

Этот пример вводит в заблуждение, так как метод POST лучше подходит для отправки данных, он более безопасный, обратите внимание на этот момент)

[kamkib]

Добрый день. Спасибо за замечание, взяли в работу.

[antonydevanchi]

@kamkib допустим, и IP-адрес, и секрет от инстанса капчи — скомпрометировали.

И чего самого страшного можно с ними сделать? :)

[lxchurbakov]

Почему POST более безопасен, чем GET? Кем могут быть скомпрометированы данные, передающиеся по https?

[AlexJameson]

@sofieremi Здравствуйте! Команда разработки рассмотрела ваше замечание и начала работу над этой задачей.