Защита ключей API

Ключ API — это секретная строка, которая идентифицирует клиента и авторизует его при обращении к API.

Тот, у кого есть ключ, может действовать от имени этого клиента, поэтому ключи необходимо хранить в секрете.

Обращайтесь с ключом API так же осторожно, как с паролем.

Утёкший ключ позволяет злоумышленнику отправлять запросы, увеличивать расходы и получать доступ к данным, выдавая себя за доверенного клиента.

Распространённая ошибка — помещать ключ непосредственно в код:

В итоге ключ оказывается в репозитории и истории изменений, где его может прочитать любой, у кого есть доступ.

Храните ключи вне кода, в переменных окружения.

Секрет хранится в окружении, а не в исходных файлах.

Добавьте файлы с секретами в .gitignore, чтобы они никогда не были зафиксированы:

Если ключ когда-либо был зафиксирован, одного последующего удаления недостаточно: его необходимо заменить.

Никогда не встраивайте секретный ключ в код клиентской или мобильной части приложения.

Любой может изучить приложение и извлечь ключ. Храните секретные ключи на сервере и обращайтесь к стороннему API оттуда.

В рабочей среде храните ключи в специализированном хранилище секретов.

Такие инструменты, как Vault, или облачные сервисы хранения секретов шифруют ключи, контролируют доступ и ведут журнал обращений к ним.

Предоставляйте каждому ключу только необходимые ему разрешения.

Ключ только для чтения не сможет удалить данные, даже если его содержимое утечёт. Ограничение области действия уменьшает ущерб от компрометации любого отдельного ключа.

Замена ключей означает обновление ключей по расписанию и немедленно после любой предполагаемой утечки.

Ключи с коротким сроком действия уменьшают время, в течение которого украденный ключ остаётся полезным злоумышленнику.

Дополнительно ограничьте ключи, разрешив их использование только с определённых IP-адресов или доменов.

Затем контролируйте их использование. Неожиданный трафик или новые местоположения могут показать, что ключ был украден.

Если ключ утёк, действуйте быстро:

• Немедленно отзовите старый ключ
• Выпустите новый
• Проверьте журналы на наличие злоупотреблений

Быстрая реакция ограничивает ущерб, который может причинить утёкший секрет.

Где следует хранить секретный ключ API в рабочем веб-приложении?

Защищайте ключи API как пароли: не храните их в коде и Git, помещайте их в переменные окружения или хранилище секретов, ограничивайте их минимально необходимыми привилегиями, регулярно заменяйте их, ограничивайте и контролируйте их использование, а любой утёкший ключ быстро отзывайте.