Controle de acesso

Uma simulação publicada responde em uma URL pública. Acesso e variáveis, em Configurações na barra lateral, decide quem pode chamar ela: uma key no mock de API, credenciais no explorador de API, e uma lista de IPs por cima dos dois. A mesma página leva as variáveis de ambiente que o runtime recebe.

As mudanças são salvas com Salvar e valem no próximo deploy da simulação; Fazer deploy agora fica bem ao lado da nota. Uma organização também pode definir esses valores uma vez para todas as simulações dela: um campo com o selo Padrão da organização vem de lá, e o que você põe na simulação sobrescreve campo por campo.

API key

A API key protege os endpoints do mock. Com uma key definida, toda requisição para a simulação tem que levar ela no header x-mockzilla-api-key; uma requisição sem ela recebe um 401. Deixe o campo vazio e a API fica aberta.

curl "https://api.mockz.io/app/your-org/your-sim/petstore/pets" \
  -H "x-mockzilla-api-key: your-key"

A key é guardada do jeito que você digitou e pode ser mostrada de novo pelo ícone do olho: ela cuida de tráfego de mock, não de dado de produção. A simulação publicada nunca guarda a key em si, só um resumo dela.

O explorador de API: desligado, aberto ou atrás de uma senha

Toda simulação pode servir uma interface navegável na URL dela. Se ela deve ou não é uma decisão por simulação, tomada em Servir o explorador de API, dentro de Geral:

• Você não precisa dele: desligue. A simulação serve só a API, sem interface. Quanto menos porta, melhor.
• Você usa, mas nem todo mundo deveria: deixe ligado e configure o Basic auth (interface do explorador). O navegador pede o usuário e a senha. Os endpoints do mock não são afetados, então o tráfego de máquina continua funcionando, com a API key se tiver uma.
• Qualquer pessoa com o link pode olhar: deixe ligado e sem credenciais. É assim que vem por padrão.

Vale a pena manter o explorador por perto: ele lista cada serviço e cada endpoint, dispara requisições e mostra a resposta, entrega o comando curl equivalente, e deixa você passar o olho no histórico recente ali mesmo.

Veja Histórico de requisições.

Uma senha que nunca é guardada

O campo da senha tem dois modos. Senha guarda o que você digita, igual à API key. Troque para Hash SHA-256 para colar no lugar um resumo de 64 caracteres: a simulação consegue conferir contra ele, e ninguém, a gente inclusive, consegue ler a senha de volta.

Gere o resumo localmente:

echo -n "your-password" | shasum -a 256

Lista de IPs liberados

A lista restringe tanto a interface quanto o mock de API aos IPs ou faixas CIDR que você listar; quem chamar de fora recebe um 403. Use quando a simulação só puder responder para a rede de um escritório ou para a faixa de um runner de CI.

Variáveis de ambiente

Pares de nome e valor, entregues ao runtime como ambiente comum no próximo deploy. Elas são guardadas do jeito que você digitou, sem criptografia: uma simulação serve tráfego de teste, então as variáveis dela são configuração, não segredo. Coloque valores de nível mock, um token de sandbox de um upstream ou uma feature flag, e deixe os segredos de produção de fora.

Um backend não recebe variáveis; o runtime dele é configurado pelo produto, e a página mostra só Acesso.