Protezione delle chiavi API

Una chiave API è una stringa segreta che identifica e autorizza un client che chiama un'API.

Chiunque possieda la chiave può agire come quel client, quindi le chiavi devono rimanere segrete.

Tratti una chiave API con la stessa attenzione di una password.

Una chiave esposta consente a un attaccante di effettuare richieste, aumentare i costi e accedere ai dati, il tutto apparendo come un client affidabile.

Un errore comune consiste nell'inserire una chiave direttamente nel codice:

In questo modo la chiave finisce nel repository e nella cronologia, dove chiunque abbia accesso può leggerla.

Conservi le chiavi al di fuori del codice, nelle variabili d'ambiente.

Il segreto risiede nell'ambiente, non nei file sorgente.

Aggiunga i file contenenti segreti a .gitignore per evitare che vengano sottoposti a commit:

Se una chiave è stata sottoposta a commit, rimuoverla in seguito non è sufficiente: deve essere ruotata.

Non inserisca mai una chiave segreta nel codice front-end o mobile.

Chiunque può ispezionare l'app ed estrarla. Conservi le chiavi segrete sul server e chiami da lì l'API di terze parti.

In produzione, conservi le chiavi in un gestore dei segreti dedicato.

Strumenti come Vault o un servizio cloud per la gestione dei segreti cifrano le chiavi, controllano gli accessi e registrano chi le legge.

Conceda a ogni chiave solo le autorizzazioni di cui ha bisogno.

Una chiave di sola lettura non può eliminare dati nemmeno se viene esposta. La definizione dell'ambito limita i danni causati dalla compromissione di una singola chiave.

La rotazione consiste nel sostituire le chiavi secondo una pianificazione e subito dopo ogni sospetta esposizione.

Le chiavi a breve durata riducono il periodo durante il quale una chiave rubata rimane utile a un attaccante.

Renda le chiavi ancora più restrittive consentendo l'accesso solo da determinati indirizzi IP o domini.

Quindi ne monitori l'utilizzo. Traffico imprevisto o nuove posizioni possono rivelare che una chiave è stata rubata.

Se una chiave viene esposta, agisca rapidamente:

• Revochi immediatamente la vecchia chiave
• Ne emetta una nuova
• Controlli i log per individuare eventuali abusi

La rapidità limita i danni che un segreto esposto può causare.

Dove deve essere conservata una chiave API segreta in un'app web di produzione?

Protegga le chiavi API come le password: le tenga fuori dal codice e da Git, le conservi nelle variabili d'ambiente o in un gestore dei segreti, ne limiti l'ambito al privilegio minimo, le ruoti, ne limiti e monitori l'utilizzo e revochi rapidamente ogni chiave esposta.