[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"glossary-ip-allowlist::ru":3,"gloss-cluster-ip-allowlist::ru":23,"gloss-next-ip-allowlist::ru":9},{"slug":4,"category":5,"name":6,"definition":7,"meta_desc":8,"faq":9,"schema_markup":9,"related":10},"ip-allowlist","integration","IP-allowlist (список разрешённых адресов)","IP-allowlist — это правило, которое принимает трафик только с перечисленного набора адресов-источников и отбрасывает всё остальное. В SaaS он встречается в двух направлениях, и их постоянно путают. На входе клиент ограничивает, кто вправе вызывать его API или открывать его админку, и просит у вашего продукта список адресов, с которых пойдут ваши исходящие вызовы. На выходе уже ваш продукт ограничивает, каким адресам разрешено достучаться до приватного эндпоинта или внутренней поверхности. И то и другое — грубые меры: адрес не является личностью, и всякий, кто способен отправлять трафик с разрешённого адреса, наследует это право. Неудобство современного SaaS в самом обещании постоянных адресов-источников. Бессерверные платформы, автоматически масштабируемые воркеры и управляемые потребители очередей не гарантируют фиксированный исходящий адрес: пул меняется вместе с масштабированием провайдера, и брандмауэр клиента начинает тихо отбрасывать ваши вебхуки. Поставщики, которым это обещание всё же нужно, пропускают исходящий трафик через небольшой набор выделенных адресов или через прокси-слой, публикуют их и дальше относятся к ним как к интерфейсу: менять их — ломающее изменение, требующее уведомления, ровно как смена контракта API. Ломаются списки тоже обманчиво: пакет, отброшенный на брандмауэре клиента, не даёт ошибки у него и даёт тайм-аут у вас, поэтому сбой остаётся невидимым, пока кто-нибудь не сопоставит одно с другим. Поэтому allowlist лучше работает как один слой из нескольких, а не как история про аутентификацию: сочетайте его с подписанным запросом или клиентским сертификатом, чтобы адрес сужал поверхность атаки, а кто именно звонит — доказывала криптография. Публикуйте адреса там, где клиент может подписаться на изменения, и никогда не добавляйте новый молча.","IP-allowlist пропускает трафик только с названных адресов: почему бессерверные платформы ломают обещание постоянных исходящих IP и почему адрес не личность.",null,[11,14,17,20],{"slug":12,"name":13},"least-privilege","Принцип наименьших привилегий (Least Privilege)",{"slug":15,"name":16},"vpc","Виртуальное частное облако (VPC)",{"slug":18,"name":19},"webhook-signing","Webhook Signing (подписывание вебхуков)",{"slug":21,"name":22},"zero-trust","Архитектура нулевого доверия (Zero-Trust)",[24,28,31,34,37,40,44,47,50,53,56,59],{"slug":25,"category":5,"name":26,"updated_at":27},"backend-for-frontend","Backend for Frontend (BFF)","2026-08-24T02:46:38+00:00",{"slug":29,"category":5,"name":30,"updated_at":27},"concurrency-limit","Лимит параллельных запросов",{"slug":32,"category":5,"name":33,"updated_at":27},"event-ordering","Порядок событий",{"slug":35,"category":5,"name":36,"updated_at":27},"field-mapping","Сопоставление полей (field mapping)",{"slug":38,"category":5,"name":39,"updated_at":27},"function-schema","Схема функции",{"slug":41,"category":5,"name":42,"updated_at":43},"grpc","gRPC","2026-08-24T02:46:37+00:00",{"slug":45,"category":5,"name":46,"updated_at":27},"integration-marketplace","Каталог интеграций (integration marketplace)",{"slug":48,"category":5,"name":49,"updated_at":27},"json-web-token","JSON Web Token (JWT)",{"slug":51,"category":5,"name":52,"updated_at":27},"mcp-server","MCP-сервер",{"slug":54,"category":5,"name":55,"updated_at":27},"mutual-tls","Взаимный TLS (mTLS)",{"slug":57,"category":5,"name":58,"updated_at":27},"oauth-scopes","OAuth-скоупы",{"slug":60,"category":5,"name":61,"updated_at":27},"openapi-specification","OpenAPI Specification"]