Zabezpieczanie kluczy API

Klucz API to poufny ciąg znaków, który identyfikuje klienta wywołującego API i nadaje mu uprawnienia.

Każdy, kto posiada klucz, może działać jako ten klient, dlatego klucze muszą pozostać tajne.

Traktuj klucz API z taką samą ostrożnością jak hasło.

Ujawniony klucz pozwala atakującemu wysyłać żądania, zwiększać koszty i uzyskiwać dostęp do danych, a wszystko to pod pozorem zaufanego klienta.

Częstym błędem jest umieszczenie klucza bezpośrednio w kodzie:

W ten sposób klucz trafia do repozytorium i historii zmian, gdzie może go odczytać każda osoba mająca do nich dostęp.

Przechowuj klucze poza kodem, w zmiennych środowiskowych.

Sekret znajduje się wtedy w środowisku, a nie w plikach źródłowych.

Dodaj pliki zawierające sekrety do .gitignore, aby nigdy nie zostały zatwierdzone:

Jeśli klucz kiedykolwiek trafił do repozytorium, samo późniejsze usunięcie go nie wystarczy — trzeba go poddać rotacji.

Nigdy nie umieszczaj tajnego klucza w kodzie frontendu ani aplikacji mobilnej.

Każdy może przeanalizować aplikację i go wydobyć. Przechowuj tajne klucze na serwerze i stamtąd wywołuj API firmy trzeciej.

W środowisku produkcyjnym przechowuj klucze w dedykowanym menedżerze sekretów.

Narzędzia takie jak Vault lub usługi sekretów w chmurze szyfrują klucze, kontrolują dostęp do nich i rejestrują, kto je odczytuje.

Przydzielaj każdemu kluczowi tylko te uprawnienia, których potrzebuje.

Klucz tylko do odczytu nie pozwoli usunąć danych nawet po ujawnieniu. Ograniczenie zakresu uprawnień zmniejsza szkody, jakie może spowodować przejęcie pojedynczego klucza.

Rotacja oznacza wymianę kluczy zgodnie z harmonogramem oraz natychmiast po podejrzeniu ich ujawnienia.

Klucze krótkotrwałe ograniczają czas, przez który skradziony klucz pozostaje użyteczny dla atakującego.

Ograniczaj klucze jeszcze bardziej, zezwalając na ich użycie tylko z określonych adresów IP lub domen.

Następnie monitoruj ich wykorzystanie. Nieoczekiwany ruch lub nowe lokalizacje mogą ujawnić, że klucz został skradziony.

Jeśli klucz zostanie ujawniony, działaj szybko:

• Natychmiast unieważnij stary klucz
• Wygeneruj nowy
• Przejrzyj logi pod kątem nadużyć

Szybka reakcja ogranicza szkody, jakie może spowodować ujawniony sekret.

Gdzie należy przechowywać tajny klucz API w produkcyjnej aplikacji internetowej?

Chroń klucze API tak jak hasła: nie umieszczaj ich w kodzie ani w Git, przechowuj je w zmiennych środowiskowych lub menedżerze sekretów, ograniczaj ich uprawnienia do niezbędnego minimum, poddawaj je rotacji, ograniczaj i monitoruj ich użycie oraz szybko unieważniaj każdy ujawniony klucz.