Определение
Область ключа API — это граница разрешений, которая ограничивает возможности ключа, например запись в чат, запись встраивания, запросы изображений или чтение использования. Области действия уменьшают радиус атаки, но полные ключи по-прежнему принадлежат секретному хранилищу на стороне сервера, а не общедоступным инструментам, коду внешнего интерфейса, снимкам экрана или сообщениям службы поддержки.
Канонические факты
| Цель | Ограничьте то, к чему ключ может получить доступ или изменить. |
|---|---|
| Хранение | Храните полные ключи на сервере или в секретных менеджерах. |
| Дисплей | После создания показывать безопасные префиксы, а не полные ключи. |
| Вращение | Поворачивайте клавиши, когда они открыты или больше не нужны. |
| unlimitedcodex | Считайте доставленные ключи и ключи области самообслуживания конфиденциальными учетными данными. |
Почему прицелы помогают
Ключ с ограниченной областью действия может уменьшить ущерб, если один рабочий процесс будет скомпрометирован. Например, ключ, используемый только для чтения использования, не должен также иметь возможность отправлять запросы изображений или чата.
Какие области применения не решают
Области не защищают утекший полный ключ. Не вставляйте ключи в общедоступные примеры, форумы, сообщения поддержки, инструменты аналитики или клиентский код. Немедленно поверните любой открытый ключ.
Чеки
Используйте наименьшую область, необходимую для рабочей нагрузки.
Храните ключи в переменных среды на стороне сервера или в секретных менеджерах.
Никогда не вставляйте полные ключи в общедоступные инструменты.
Поворачивайте клавиши после воздействия или смены ролей.
Используйте отдельные ключи для тестовых и рабочих путей, если они доступны.
Целевые запросы
FAQ
Может ли ключ с областью действия быть общедоступным?
Нет. Области ограничивают разрешения, но полный ключ по-прежнему является учетными данными и должен оставаться конфиденциальным.
Что должно отображаться на дашбордах?
Панели мониторинга должны отображать безопасные префиксы или метаданные, а не полные секреты, которые можно повторно использовать после создания.
Что делать, если ключ протечет?
Отзовите или поменяйте его, проверьте журналы на предмет злоупотреблений и переместите секреты в более безопасное место хранения.