Лучшие практики: Безопасные ключи API

Ограничение ключей API в Google Cloud необходимо для управления доступом и повышения безопасности при работе с сервисами Google Cloud. В этом обзоре объясняется, как эффективно ограничивать ключи API, чтобы разработчики могли контролировать, как и где используются их ключи. Разработчики могут устанавливать географические ограничения, привязывать ключи к конкретным IP-адресам или ограничивать использование определенными сервисами. Эти меры обеспечивают безопасность ключей API, помогая защищать проекты и поддерживать оптимальную функциональность.

Чтобы минимизировать потенциальный ущерб от скомпрометированных ключей API:

• Добавьте ограничения к ключу API: Установка ограничений позволяет ограничить способы использования ключа API, что снижает последствия в случае его компрометации.

• Удалите ненужные ключи API: Удалите любые ключи API, которые больше не требуются, чтобы уменьшить уязвимость к атакам.

• Периодически обновляйте ключи API: Регулярно создавайте новые ключи API, удаляйте старые и обновляйте приложения для использования новых ключей. Эта практика помогает поддерживать безопасность и ограничивать срок действия любого отдельного ключа.

Добавление ограничений к ключу API

Ключи API по умолчанию не имеют ограничений. Неограниченные ключи небезопасны, поскольку их может использовать любой человек откуда угодно. Вы можете добавить ограничения приложений или ограничения API, чтобы повысить безопасность.

В следующем примере мы используем ключи API для карт и ограничиваем их для конкретных платформ с помощью уникальных идентификаторов.

На этом этапе у вас уже должны быть созданы ключи API, но они пока не ограничены. Если они еще не созданы, вы можете следовать процессу интеграции для любого из поддерживаемых нами сервисов Google Cloud в FlutterFlow или для карт перейти сюда.

Все созданные вами ключи API должны быть доступны на странице учетных данных Cloud. (Убедитесь, что вы вошли в правильный аккаунт Google и находитесь в нужном проекте Google Cloud.)

Следуйте шагам ниже, чтобы разрешить ключ для iOS исключительно для приложений iOS с уникальным именем пакета:

Теперь ключ API для iOS будет работать только при доступе из вашего приложения с указанным уникальным идентификатором. Вы также можете ограничивать ключи API по HTTP-рефералам или IP-адресам. Вот краткий обзор из официальной документации:

Подробнее

Узнайте больше о защите ключей API для всех платформ и ограничении использования API, посетив официальную документацию Google Cloud.