API Anahtarlarını Güvenceye Alma

API anahtarı, API'yi çağıran istemciyi tanımlayan ve yetkilendiren gizli bir dizgedir.

Anahtara sahip olan herkes o istemci gibi işlem yapabilir; bu nedenle anahtarlar gizli tutulmalıdır.

Bir API anahtarına parola kadar özen gösterin.

Sızdırılmış bir anahtar, saldırganın istekler göndermesine, maliyetleri artırmasına ve güvenilir bir istemci gibi görünürken verilere erişmesine olanak tanır.

Yaygın bir hata, anahtarı doğrudan koda yazmaktır:

Bu anahtar deponuzda ve geçmişinizde yer alır; erişimi olan herkes onu okuyabilir.

Anahtarları kodunuzun dışında, ortam değişkenlerinde tutun.

Gizli bilgi kaynak dosyalarınızda değil, ortamda bulunur.

Gizli dosyaların hiçbir zaman depoya işlenmemesi için onları .gitignore dosyasına ekleyin:

Bir anahtar daha önce depoya işlendi ise sonradan kaldırılması yeterli değildir; anahtarın yenilenmesi gerekir.

Gizli bir anahtarı hiçbir zaman ön yüz veya mobil kodun içine gömmeyin.

Herkes uygulamayı inceleyip anahtarı çıkarabilir. Gizli anahtarları sunucuda tutun ve üçüncü taraf API'yi oradan çağırın.

Üretim ortamında anahtarları özel bir gizli bilgi yöneticisinde saklayın.

Vault veya bir bulut gizli bilgi hizmeti gibi araçlar anahtarları şifreler, erişimi denetler ve onları kimin okuduğunu günlükler.

Her anahtara yalnızca ihtiyaç duyduğu izinleri verin.

Salt okunur bir anahtar, sızdırılsa bile verileri silemez. Kapsamlandırma, ele geçirilen tek bir anahtarın verebileceği zararı sınırlar.

Yenileme, anahtarları belirli bir takvime göre ve şüpheli bir sızıntının hemen ardından değiştirmek anlamına gelir.

Kısa ömürlü anahtarlar, çalınan bir anahtarın saldırgan için ne kadar süre kullanılabilir kalacağını azaltır.

Yalnızca belirli IP'lere veya alan adlarına izin vererek anahtarları daha da kısıtlayın.

Ardından kullanımı izleyin. Beklenmeyen trafik veya yeni konumlar, bir anahtarın çalındığını ortaya çıkarabilir.

Bir anahtar sızarsa hızlı hareket edin:

• Eski anahtarı hemen geçersiz kılın
• Yeni bir anahtar oluşturun
• Kötüye kullanım için günlükleri inceleyin

Hızlı hareket etmek, sızdırılmış bir gizli bilginin verebileceği zararı sınırlar.

Gizli bir API anahtarı, üretim ortamındaki bir web uygulamasında nerede saklanmalıdır?

API anahtarlarını parolalar gibi koruyun: onları koddan ve Git'ten uzak tutun, ortam değişkenlerinde veya bir gizli bilgi yöneticisinde saklayın, kapsamlarını en az yetkiyle sınırlandırın, yenileyin, kullanımlarını kısıtlayıp izleyin ve sızdırılan anahtarları hızla geçersiz kılın.