Watch-IP-Sicherheit und Umgang mit API-Schlüsseln
Diese Seite beschreibt die Zugriffskontrollen, die in der Watch-IP-API heute tatsächlich implementiert sind: wie die beiden Schlüsseltypen funktionieren, wie Origins durchgesetzt werden, wie Schlüssel rotiert oder widerrufen werden können und wie ein Sicherheitsproblem gemeldet wird. Sie beansprucht keine Compliance-Zertifizierung oder unabhängige Sicherheitsprüfung — zum Zeitpunkt der Erstellung wurde keine durchgeführt.
Zwei Schlüsseltypen, zwei unterschiedliche Kontrollen
Veröffentlichbare Schlüssel (verwendet für GET /v1/geo und POST /v1/email/validate) sind dafür ausgelegt, im Browser-Code zu laufen, und sind nicht geheim — die Kontrolle ist die für den Schlüssel konfigurierte Liste erlaubter Origins, geprüft gegen den Origin-/Referer-Header der Anfrage. Geheime Schlüssel (verwendet für GET/POST /v1/lookup und POST /v1/risk/check) sind Server-zu-Server-Anmeldedaten ohne jede Origin-Prüfung, da ein Backend-Aufruf keinen Browser-Origin-Header hat; behandeln Sie einen geheimen Schlüssel wie ein Datenbankpasswort, nicht wie eine öffentliche Kennung. Das von jedem Schlüsseltyp erwartete Anfrageformat finden Sie unter Authentifizierung.
Wie Origin-Bindung durchgesetzt wird
Eine Anfrage mit einem veröffentlichbaren Schlüssel von einem Origin, der nicht auf der erlaubten Liste des Schlüssels steht, erhält einen 403 ohne gesetzten Access-Control-Allow-Origin-Header. Dass der Browser diese Antwort blockiert, bevor das JavaScript Ihrer Seite sie lesen kann, ist die eigentliche Durchsetzung — der JSON-Fehlertext ist zweitrangig. Origin-Bindung macht den Schlüssel selbst nicht geheim, und sie hindert einen Nicht-Browser-Client nicht daran, einen gefälschten Origin-Header zu senden; sie schützt speziell die Browser-Aufruffläche.
Transport und Speicherung
Der Datenverkehr zur API und zum Dashboard ist bei der Übertragung verschlüsselt (TLS/HTTPS); die API akzeptiert kein Klartext-HTTP für schlüsselauthentifizierte Anfragen. API-Schlüssel werden gehasht gespeichert (SHA-256), nicht im Klartext, sodass eine Kompromittierung der Datenbank allein keine nutzbaren Schlüsselwerte offenlegen würde.
Rotation und Widerruf
Sie können einen Schlüssel über das Dashboard widerrufen oder rotieren. Der Widerruf wirkt nicht überall sofort: Die Gültigkeit eines Schlüssels wird nach einer Abfrage bis zu 5 Minuten lang zwischengespeichert, sodass ein widerrufener Schlüssel bis zu 5 Minuten nach dem Widerruf weiterhin akzeptiert werden kann — berücksichtigen Sie das bei der Frage, wie schnell Sie den Zugriff nach einem vermuteten Kompromittierungsfall unterbinden können, und rotieren Sie proaktiv, statt sich bei einem zeitkritischen Vorfall allein auf den Widerruf zu verlassen.
Ratenbegrenzung
Jeder Schlüssel wird pro Kundenkonto in einem festen Ein-Minuten-Fenster ratenbegrenzt, gemeinsam für alle von Ihnen aufgerufenen Endpoints — kein Budget pro Route. Dies begrenzt den Schaden, den ein einzelner geleakter oder missbrauchter Schlüssel in einem kurzen Zeitfenster anrichten kann, ersetzt aber selbst nicht die Rotation eines kompromittierten Schlüssels.
Ein Sicherheitsproblem melden
Senden Sie eine E-Mail an security@watch-ip.com, wenn Sie glauben, dass ein Schlüssel kompromittiert wurde, oder wenn Sie ein Sicherheitsproblem in der API oder im Dashboard gefunden haben. Wir betreiben derzeit kein öffentliches Bug-Bounty-Programm und halten keine Sicherheitszertifizierung eines Drittanbieters — sollte sich das ändern, wird diese Seite es mit einem Datum sagen, nicht mit einem Badge.