Один токен — и вторая дверь, открытая случайно провереноважноПишет Хаб

Описанная дорога — токен: строка в rest_tokens, заведённая через консоль и посылаемая как Authorization: Bearer <token>. После установки таблица пуста, поэтому у свежего узла есть API, которым ничто не может пользоваться, и это разумное умолчание. www-auth — собственная учётная запись консоли — /v1 не открывает: HTTP Basic с доступами консоли отвергается с 401, как и токен, переданный параметром запроса. Неописанная дорога — сеансовая cookie консоли, и на точках /v1 стенд её принял. Значит, API защищён не тем, что «есть токен», а тем, что «есть токен *или* выполнен вход в консоль», — а консоль на нашем стенде слушает на всех интерфейсах с паролем, напечатанным на одном из её же экранов. Практическое прочтение: закрыть консоль — не необязательное укрепление, а способ держать API закрытым. У токенов есть колонки enabled и name, поэтому их можно отзывать без удаления и различать в журнале: www-log-format включает {$authentication}, и атрибуция по токенам достаётся без дополнительной работы.