देखिए कि आमतौर पर एक API key पाने में क्या लगता है। फ़ॉर्म भरो। ईमेल कन्फ़र्म करो — एक इनबॉक्स से, जो ठीक वही चीज़ है जिसे पाने आप यहाँ आए थे। डैशबोर्ड में लॉग इन करो। सेटिंग्स पेज तक क्लिक करते जाओ। key जनरेट करो। उसे एनवायरनमेंट वेरिएबल में कॉपी करो। इनमें से हर कदम हाथ और आँखें मानकर चलता है।
अब किसी स्वायत्त एजेंट से यह करने को कहिए। वह नहीं कर सकता, और यह विफलता चक्रीय है: ईमेल API के लिए साइनअप करने को ईमेल API को एक ईमेल चाहिए।
बिना-ऑथेंटिकेशन POST
apumail की प्रोविज़निंग कॉल में कोई ऑथ नहीं लगता:
curl -sS -X POST https://api.apumail.com/api/v1/inboxes{
"address": "vivid-llama-4a2c@apumail.com",
"token": "…"
}यही पूरी ऑनबोर्डिंग है। कोई अकाउंट नहीं, कोई key नहीं, कोई डैशबोर्ड नहीं। जिस एजेंट ने apumail के बारे में कभी सुना भी नहीं, वह एक टूल कॉल के भीतर शून्य से एक काम करने वाले पते तक पहुँच सकता है — और जब कोई मॉडल इंतज़ार कर रहा हो, तो असल में यही एकमात्र लेटेंसी बजट होता है।
यह वैसा सुरक्षा छेद क्यों नहीं है जैसा दिखता है
"बिना-ऑथेंटिकेशन POST" पढ़कर पहली प्रतिक्रिया होती है कि कुछ खुला छूट गया है। यह सटीक रूप से समझना ज़रूरी है कि ऑथ किस चीज़ की रक्षा करता।
टोकन का दायरा एक इनबॉक्स तक सीमित है। जो लौटता है वह अकाउंट क्रेडेंशियल नहीं — वह उस इनबॉक्स के लिए एक क्षमता है और कुछ नहीं। उसके पीछे कोई अकाउंट नहीं जिसमें अधिकार बढ़ाए जा सकें, कोई बिलिंग नहीं जिसे खाली किया जा सके, कोई दूसरा इनबॉक्स नहीं जिसे वह पढ़ सके। लीक हुआ एजेंट टोकन एक डिस्पोज़ेबल इनबॉक्स लीक करता है। इसकी तुलना उस एजेंट से कीजिए जिसके पास आपका Gmail ऐप पासवर्ड है।
स्पैम का दरवाज़ा RCPT TO पर है, साइनअप पर नहीं। एक खुला प्रोविज़निंग एंडपॉइंट
भोलेपन से जिस चीज़ को न्योता देता, वह है जंक मेल, इसलिए रोक वहीं लगाई गई है जहाँ वह असल में आता है: जिस
लोकल पार्ट को किसी ने प्रोविज़न नहीं किया, उसके लिए आया मेल RCPT TO पर
550 5.1.1 के साथ अस्वीकार कर दिया जाता है, मैसेज बॉडी स्वीकार होने से पहले ही। इसके ऊपर
हर कनेक्ट करने वाले IP की सीमा 30 मेल/मिनट है। साइनअप की शर्त इनमें से एक को भी नहीं रोकती — स्पैमर
ख़ुशी-ख़ुशी फ़ॉर्म भर देते हैं।
आउटबाउंड पर प्रति इनबॉक्स और प्रति IP रेट-लिमिट है, और
from को ज़बरदस्ती ऑथेंटिकेटेड इनबॉक्स पर सेट किया जाता है। किसी मुफ़्त मेल सेवा का दुरुपयोग
उसे स्पैम रिले की तरह इस्तेमाल करना है; वह रिले पर बंद है, दरवाज़े पर नहीं।
इनबॉक्स एक्सपायर होते हैं। मुफ़्त इनबॉक्स आख़िरी गतिविधि — पढ़ना या प्राप्त करना — के 24 घंटे बाद हटा दिए जाते हैं। छोड़ा गया इनबॉक्स कोई स्थायी मुफ़्त संसाधन नहीं, वह बस एक दिन है।
तो साइनअप फ़ॉर्म कभी सुरक्षा सीमा था ही नहीं। वह एक स्पीड ब्रेकर था जिसने एजेंटों को रोका और स्पैमरों को लगभग चार सेकंड के लिए असुविधा दी।
जब आपको सच में अकाउंट चाहिए
साइन इन करने का एक असली कारण है, और वह प्रोविज़निंग नहीं — वह स्थायित्व और पहचान है। मुफ़्त इनबॉक्स
डिज़ाइन से ही गुमनाम और डिस्पोज़ेबल है। अगर आप चाहते हैं कि <your-name>@apumail.com
बना रहे, या एजेंट इनबॉक्स आपके अपने डोमेन पर हों, या आपके एजेंटों का बेड़ा क्या कर रहा
है यह देखने के लिए डैशबोर्ड चाहिए, तो इसके लिए एक मालिक चाहिए। notlogin इसी के लिए है — और
notlogin ख़ुद इस तरह बना है कि एजेंट बिना फ़ॉर्म के ऑथेंटिकेट कर सके, जो एक परत नीचे वही सिद्धांत है।
यह बँटवारा जानबूझकर है: मुफ़्त रास्ता कभी नहीं पूछता कि आप कौन हैं, और पेड रास्ता ठीक एक बार पूछता है।