Protección de claves de API

Una clave de API es una cadena secreta que identifica y autoriza a un cliente que realiza llamadas a una API.

Cualquiera que tenga la clave puede actuar como ese cliente, por lo que las claves deben mantenerse en secreto.

Trate una clave de API con el mismo cuidado que una contraseña.

Una clave filtrada permite a un atacante realizar solicitudes, aumentar los costes y acceder a los datos, todo ello mientras aparenta ser un cliente de confianza.

Un error común es poner una clave directamente en el código:

La clave acaba en el repositorio y en el historial, donde cualquier persona con acceso puede leerla.

Mantenga las claves fuera del código, en variables de entorno.

El secreto vive en el entorno, no en los archivos de código fuente.

Añada los archivos secretos a .gitignore para que nunca se confirmen:

Si una clave se confirmó alguna vez, no basta con eliminarla después; debe rotarse.

Nunca incluya una clave secreta en código de front-end o móvil.

Cualquiera puede inspeccionar la aplicación y extraerla. Mantenga las claves secretas en el servidor y llame desde allí a la API de terceros.

En producción, almacene las claves en un gestor de secretos especializado.

Herramientas como Vault o un servicio de secretos en la nube cifran las claves, controlan el acceso y registran quién las lee.

Asigne a cada clave únicamente los permisos que necesita.

Una clave de solo lectura no puede eliminar datos aunque se filtre. Limitar el alcance reduce el daño de cualquier clave comprometida.

La rotación consiste en reemplazar las claves según un calendario y hacerlo de inmediato después de cualquier posible filtración.

Las claves de corta duración reducen el tiempo durante el que una clave robada sigue siendo útil para un atacante.

Restrinja aún más las claves permitiendo únicamente determinadas IP o dominios.

Después, monitorice el uso. Un tráfico inesperado o nuevas ubicaciones pueden revelar que han robado una clave.

Si se filtra una clave, actúe con rapidez:

• Revoque inmediatamente la clave antigua
• Emita una nueva
• Revise los registros para detectar usos indebidos

La rapidez limita el daño que puede causar un secreto filtrado.

¿Dónde debe almacenarse una clave de API secreta en una aplicación web de producción?

Proteja las claves de API como contraseñas: manténgalas fuera del código y de Git, almacénelas en variables de entorno o en un gestor de secretos, asígneles el mínimo privilegio, rótelas, restrinja y monitorice su uso, y revoque rápidamente cualquier clave filtrada.