Выбран небезопасный способ передачи SERVER_KEY

[sofieremi]

Ключ, токен и IP-адрес пользователя отправляются на проверку GET - запросом, что является очень небезопасным способом передачи секретной информации, так как она простым образом может быть скомпрометирована

def check_captcha(token):
resp = requests.get(
"https://captcha-api.yandex.ru/validate",
{
"secret": SMARTCAPTCHA_SERVER_KEY,
"token": token,
"ip": "<IP-адрес_пользователя>"
}

Этот пример вводит в заблуждение, так как метод POST лучше подходит для отправки данных, он более безопасный, обратите внимание на этот момент)

[kamkib]

Добрый день. Спасибо за замечание, взяли в работу.

[antonydevanchi]

@kamkib допустим, и IP-адрес, и секрет от инстанса капчи — скомпрометировали.

И чего самого страшного можно с ними сделать? :)

[lxchurbakov]

Почему POST более безопасен, чем GET? Кем могут быть скомпрометированы данные, передающиеся по https?

[AlexJameson]

@sofieremi Здравствуйте! Команда разработки рассмотрела ваше замечание и начала работу над этой задачей.