Czym jest klucz API?

Czym jest klucz API

Czym jest klucz API? Prosty przewodnik z listą kontrolną bezpieczeństwa | We.Inc

Czym jest klucz API, czym różni się od hasła i tokenu OAuth, gdzie go trzymać, jak go ograniczyć i rotować oraz co zrobić w chwili, gdy wycieknie.

Klucz API to długi tajny ciąg znaków, który program wysyła z każdym żądaniem, aby udowodnić, które konto wywołuje usługę, na przykład dostawcę płatności, map lub e-maili. Większość kluczy traktuj jak hasło: trzymaj je na serwerze, nigdy w kodzie strony, ogranicz ich uprawnienia i wymień je, jeśli zostały ujawnione.

Porównanie klucza API, tokenu OAuth i hasła

Klucz API
Token dostępu OAuth
Hasło

Kto go używa
Twój własny kod lub serwer
Aplikacja działająca w imieniu użytkownika, który ją zatwierdził
Osoba, która się loguje

Jak go zdobyć
Skopiuj go z panelu dostawcy
Wydawany po kliknięciu przez użytkownika Zezwól
Wybiera go dana osoba

Typowy czas ważności
Do momentu rotacji lub usunięcia
Krótki, potem odświeżany
Do zmiany

Zakres
To, na co zezwolono przy jego tworzeniu
Uprawnienia przyznane przez użytkownika
Wszystko, co może zrobić konto

Jeśli prowadzisz stronę lub sklep, spotykasz klucze API za każdym razem, gdy podłączasz usługę: płatności, mapy, e-mail, narzędzie do formularzy albo agenta AI. Większość z nich jest tajna, kilka ma być publicznych, a pomylenie ich to prosta droga do wysokich rachunków i wycieków danych. Wklej klucz do inspektora poniżej, aby zobaczyć, na jaki rodzaj wygląda; działa w całości w Twojej przeglądarce i niczego nigdzie nie wysyła.

Tworzysz klucz w panelu dostawcy i kopiujesz go raz; wielu dostawców nigdy go ponownie nie pokazuje.
Twój serwer przechowuje go w zmiennej środowiskowej lub w ustawieniach sekretów hostingu.
Każde żądanie do dostawcy zawiera klucz, zwykle w nagłówku Authorization.
Dostawca wyszukuje klucz, sprawdza, co wolno mu robić, i odpowiada albo odmawia.

Nigdy nie wklejaj tajnego klucza do kodu front-endu, publicznego repozytorium, czatu z pomocą techniczną ani e-maila.
Używaj kluczy z ograniczeniami, jeśli są dostępne. Stripe na przykład zaleca klucze ograniczone, które mają tylko uprawnienia potrzebne integracji.
Dodaj ograniczenia, takie jak dozwolone strony, adresy IP lub konkretne API, aby skradziony klucz był mniej wart.
Usuwaj nieużywane klucze, a pozostałe rotuj według harmonogramu oraz gdy odchodzi osoba z dostępem.
Trzymaj klucze testowe i produkcyjne osobno. Wielu dostawców oznacza je prefiksem, na przykład sk_test_ i sk_live_.

Najczęściej zadawane pytania

Czy klucz API to to samo co hasło?

Oba są sekretami, ale hasło służy osobie do logowania, a klucz API oprogramowaniu do wywoływania usługi. Klucze są długie i losowe, zwykle ograniczone do określonych działań i można je wymienić bez zmiany czyjegokolwiek logowania.

Czy mogę umieścić klucz API w JavaScripcie mojej strony?

Tylko jeśli dostawca twierdzi, że dany typ klucza można bezpiecznie ujawnić. Klucze publiczne Stripe zaczynające się od pk_ są przeznaczone do kodu front-endu; jego klucze tajne i ograniczone już nie. Wszystko, co jest w przeglądarce, może odczytać każdy odwiedzający.

Gdzie przechowywać klucze API?

W sejfie na sekrety albo w ustawieniach zmiennych środowiskowych hostingu. Zarówno Stripe, jak i Google zalecają, by nie umieszczać kluczy w kodzie źródłowym ani nie commitować ich do repozytoriów.

Co zrobić, jeśli mój klucz API wyciekł?

Natychmiast unieważnij go lub zrotuj w panelu dostawcy, a potem wpisz nowy klucz w ustawieniach serwera. Wytyczne GitHub dotyczące wykrytych sekretów mówią, by od razu zrotować dane uwierzytelniające; samo wyczyszczenie historii nie czyni aktywnego klucza bezpiecznym.

Klucz API czy OAuth?

Użyj klucza API, gdy Twój własny serwer komunikuje się z usługą na Twoim własnym koncie. Użyj OAuth, gdy aplikacja musi działać w imieniu innych osób na ich kontach, bo wtedy każda z nich sama przyznaje dostęp i może go cofnąć.

Klucze publiczne i tajne

Niektóre usługi wydają parę kluczy. Klucz publiczny identyfikuje Twoje konto z poziomu przeglądarki, ale nie może zrobić nic wrażliwego, natomiast tajny klucz na serwerze może obciążać karty lub odczytywać dane. Dokumentacja Stripe oznacza jako bezpieczny do ujawnienia tylko klucz publiczny.
Klucz przeglądarkowy również warto ograniczyć. Wytyczne Google Cloud zalecają dodanie ograniczeń klucza API, które zawężają sposoby jego użycia, a tym samym zmniejszają szkody, jeśli ktoś go skopiuje.

Lista kontrolna po wycieku klucza

Po pierwsze, zrotuj lub usuń klucz w panelu dostawcy. Po drugie, wpisz nowy klucz we wszystkich miejscach, które używały starego. Po trzecie, sprawdź w logach użycia dostawcy wywołania, których nie wykonałeś. Po czwarte, ustal, jak doszło do wycieku, na przykład przez commitowany plik lub paczkę front-endu, i usuń tę lukę.

Bezpieczne używanie klucza z serwera

Klucz znajduje się w zmiennej środowiskowej na serwerze. Przeglądarka wywołuje Twój własny endpoint, który dodaje klucz i wywołuje dostawcę.

.env (nigdy nie commitowany)

Tylko wartości zastępcze. Dodaj .env do .gitignore, aby nigdy nie trafił do repozytorium.

Niewielka trasa na serwerze. Sekret jest odczytywany na serwerze i nigdy nie trafia do przeglądarki.

Inspektor kluczy API

Wklej klucz albo tylko jego kilka pierwszych znaków. Sprawdzenie działa wyłącznie w Twojej przeglądarce; mimo to lepiej użyć klucza testowego lub fikcyjnej wartości niż aktywnego sekretu.

Klucz do sprawdzenia

Klucz publiczny Stripe

Klucz tajny Stripe

Klucz ograniczony Stripe

Token Notion

Sekret podpisu webhooka (prefiks whsec_)

Brak znanego prefiksu. Traktuj go jako tajny, chyba że dostawca mówi inaczej.

Według dostawcy przeznaczony do kodu front-endu.

Tajny: trzymaj go na serwerze, nigdy na stronie internetowej.

Klucz w trybie testowym lub sandbox.

Klucz w trybie produkcyjnym: prawdziwe pieniądze lub prawdziwe dane.

Długość: {n} znaków

Przybliżona losowość, jeśli wygenerowano go losowo: {n} bitów

Wygląda na krótki jak na sekret. Rozsądnym orientacyjnym celem jest około {n} bitów lub więcej.

Czym jest klucz API?