API-Schlüssel absichern

Ein API-Schlüssel ist eine geheime Zeichenfolge, die einen Client identifiziert und autorisiert, der eine API aufruft.

Wer den Schlüssel besitzt, kann als dieser Client handeln. Deshalb müssen Schlüssel geheim bleiben.

Behandeln Sie einen API-Schlüssel genauso sorgfältig wie ein Passwort.

Mit einem offengelegten Schlüssel kann ein Angreifer Anfragen stellen, Kosten verursachen und auf Daten zugreifen – und dabei wie ein vertrauenswürdiger Client erscheinen.

Ein häufiger Fehler besteht darin, einen Schlüssel direkt im Code zu hinterlegen:

Dadurch landet er in Ihrem Repository und dessen Verlauf, wo ihn jeder mit Zugriff darauf lesen kann.

Halten Sie Schlüssel außerhalb Ihres Codes in Umgebungsvariablen:

Das Geheimnis befindet sich in der Umgebung und nicht in Ihren Quelldateien.

Fügen Sie geheime Dateien zu .gitignore hinzu, damit sie niemals committet werden:

Wenn ein Schlüssel jemals committet wurde, reicht es nicht aus, ihn später zu entfernen. Er muss rotiert werden.

Betten Sie niemals einen geheimen Schlüssel in Frontend- oder mobilen Code ein.

Jeder kann die App untersuchen und den Schlüssel extrahieren. Bewahren Sie geheime Schlüssel auf dem Server auf und rufen Sie die Drittanbieter-API von dort aus auf.

Speichern Sie Schlüssel in der Produktion in einem dedizierten Secrets Manager.

Tools wie Vault oder ein Cloud-Dienst für Geheimnisse verschlüsseln Schlüssel, kontrollieren den Zugriff und protokollieren, wer sie liest.

Geben Sie jedem Schlüssel nur die Berechtigungen, die er benötigt.

Ein Schlüssel mit Leseberechtigung kann keine Daten löschen, selbst wenn er offengelegt wird. Die Einschränkung des Geltungsbereichs begrenzt den Schaden eines einzelnen kompromittierten Schlüssels.

Rotation bedeutet, Schlüssel regelmäßig zu ersetzen und dies sofort nach jedem vermuteten Leck zu tun.

Kurzlebige Schlüssel verringern die Zeitspanne, in der ein gestohlener Schlüssel für einen Angreifer nützlich bleibt.

Sichern Sie Schlüssel zusätzlich ab, indem Sie nur bestimmte IPs oder Domains zulassen.

Überwachen Sie anschließend die Nutzung. Unerwarteter Datenverkehr oder neue Standorte können darauf hinweisen, dass ein Schlüssel gestohlen wurde.

Wenn ein Schlüssel offengelegt wurde, handeln Sie schnell:

• Sperren Sie den alten Schlüssel sofort
• Erstellen Sie einen neuen
• Prüfen Sie die Protokolle auf Missbrauch

Schnelles Handeln begrenzt den Schaden, den ein offengelegtes Geheimnis verursachen kann.

Wo sollte ein geheimer API-Schlüssel in einer Webanwendung in der Produktion gespeichert werden?

Schützen Sie API-Schlüssel wie Passwörter: Halten Sie sie aus Code und Git heraus, speichern Sie sie in Umgebungsvariablen oder einem Secrets Manager, beschränken Sie sie auf die geringsten erforderlichen Berechtigungen, rotieren Sie sie, schränken Sie ihre Nutzung ein, überwachen Sie sie und widerrufen Sie offengelegte Schlüssel schnell.