Watch-IP güvenliği ve API anahtarı yönetimi
Bu sayfa, Watch-IP API'sinde bugün fiilen uygulanan erişim kontrollerini açıklar: iki anahtar türünün nasıl çalıştığı, origin'lerin nasıl uygulandığı, anahtarların nasıl döndürülebileceği veya iptal edilebileceği ve bir güvenlik sorununun nasıl bildirileceği. Bir uyumluluk sertifikası veya bağımsız güvenlik denetimi iddia etmez — bu yazının yazıldığı tarih itibarıyla hiçbiri tamamlanmamıştır.
İki anahtar türü, iki farklı kontrol
Yayınlanabilir anahtarlar (GET /v1/geo ve POST /v1/email/validate için kullanılır) tarayıcı kodunda çalışmak üzere tasarlanmıştır ve gizli değildir — kontrol, anahtar için yapılandırılmış ve isteğin Origin/Referer başlığına karşı kontrol edilen izin verilen origin listesidir. Gizli anahtarlar (GET/POST /v1/lookup ve POST /v1/risk/check için kullanılır) hiçbir origin kontrolü olmayan sunucudan sunucuya kimlik bilgileridir, çünkü bir sunucu çağrısında tarayıcı Origin başlığı yoktur; gizli bir anahtarı herkese açık bir tanımlayıcı gibi değil, bir veritabanı parolası gibi ele alın. Her anahtar türünün beklediği istek biçimi için authentication (kimlik doğrulama) sayfasına bakın.
Origin kilitlemesi nasıl uygulanır
Anahtarın izin verilen listesinde olmayan bir origin'den gelen yayınlanabilir anahtar isteği, Access-Control-Allow-Origin başlığı ayarlanmadan 403 alır. Sayfanızın JavaScript'i bu yanıtı okuyamadan önce tarayıcının onu engellemesi asıl uygulamadır — JSON hata gövdesi ikincildir. Origin kilitlemesi anahtarın kendisini gizli yapmaz ve tarayıcı olmayan bir istemcinin sahte bir Origin başlığı göndermesini engellemez; özellikle tarayıcı çağrısı yüzeyini korur.
İletim ve saklama
API ve kontrol paneline giden trafik, iletim sırasında şifrelenir (TLS/HTTPS); API, anahtarla kimliği doğrulanan istekler için düz metin HTTP kabul etmez. API anahtarları düz metin olarak değil, hash'lenmiş (SHA-256) olarak saklanır, bu yüzden tek başına bir veritabanı sızıntısı kullanılabilir anahtar değerlerini ifşa etmez.
Döndürme ve iptal
Kontrol panelinden bir anahtarı iptal edebilir veya döndürebilirsiniz. İptal her yerde anında gerçekleşmez: anahtar geçerliliği bir sorgulamadan sonra en fazla 5 dakika önbelleğe alınır, bu yüzden iptal ettikten sonra bile bir anahtar 5 dakikaya kadar kabul edilmeye devam edebilir — şüpheli bir ihlalden sonra erişimi ne kadar hızlı kesebileceğinizi buna göre planlayın ve zamana duyarlı bir olayda yalnızca iptale güvenmek yerine proaktif olarak döndürün.
Hız sınırlama
Her anahtar, çağırdığınız uç noktalar arasında paylaşılan sabit bir dakikalık pencerede müşteri hesabı başına hız sınırlıdır — uç nokta başına bir bütçe değildir. Bu, tek bir sızdırılmış veya kötüye kullanılan anahtarın kısa bir pencerede yapabileceği zararı sınırlar, ancak bu tek başına ele geçirilmiş bir anahtarı döndürmenin yerini tutmaz.
Bir güvenlik sorununu bildirme
Bir anahtarın ele geçirildiğini düşünüyorsanız veya API'de ya da kontrol panelinde bir güvenlik sorunu bulduysanız security@watch-ip.com adresine e-posta gönderin. Şu anda herkese açık bir bug-bounty programı yürütmüyoruz veya üçüncü taraf bir güvenlik sertifikası tutmuyoruz — bu değişirse, bu sayfa bunu bir rozetle değil, bir tarihle birlikte belirtecektir.