API anahtarı güvenliği ve korumaları

Sorunların çoğu, REST API anahtarlarının açığa çıkmasından veya panel hesaplarına yanlış kişinin erişmesinden kaynaklanır. Bir anahtar mesaj gönderme işlemlerini tetikleyebildiğinde etki en yüksek seviyededir. Bu sayfa, Netmera anahtarlarının nasıl çalıştığını ve bunları nasıl güvenli hale getireceğinizi açıklar.

API Anahtarı Mimarisi (SDK ve REST)

Netmera bölünmüş bir model kullanır. SDK anahtarları ve REST API anahtarları farklı kapsam ve kullanım senaryolarına sahiptir.

SDK anahtarı (istemci tarafı)

• Uygulamalarınızdaki Netmera SDK tarafından kullanılır.

• Uygulama paketinde bulunması beklenir.

• Ayrıcalıklı işlemler için buna güvenmeyin.

REST API anahtarı (sunucu tarafı)

• Sunucudan sunucuya entegrasyonlar için kullanılır.

• Uygulama içi herhangi bir kullanım senaryosu için gerekli değildir.

• Bunu bir mobil uygulamaya veya web ön yüzüne gömmeyin.

Bir REST API anahtarı istemci uygulamasında gönderilirse çıkarılabilir. REST API IP beyaz listesi ile etki alanını küçültün.

Anahtar Oluşturma ve Saklama Modeli

• Anahtarlar, belirli bir panel kullanıcısı belirli bir uygulama için bunları talep ettiğinde oluşturulur.

• Anahtarlar düz metin olarak saklanmaz. Erişim panel yetkilendirmesi ile kontrol edilir.

• Aynı uygulamanın farklı kullanıcıları farklı anahtarlar görebilir. Bu, izinleri değiştirmez. Açığa çıkan bir anahtarı bir panel hesabına geri izleyebilmenize yardımcı olur.

REST API IP Kısıtlaması (Beyaz Liste)

REST API kullanımını bir IP beyaz listesiile kısıtlayın. Bu, geçerli bir anahtar sızsa bile bilinmeyen ağlardan gelen istekleri engeller.

Küçük ve sabit bir çıkış IP seti kullanın. Örnek: API ağ geçidiniz, VPN çıkışınız veya özel bir NAT.

Panel Erişimi ve Güvenlik Seçenekleri

API anahtarlarına yalnızca Netmera paneli üzerinden erişilebilir. Önce panel erişimini sıkı şekilde güvence altına alın.

1. E-posta/SMS OTP: Kullanıcıların panele/uygulamaya erişmek için tek kullanımlık bir şifre girmesi gerekir. (Kimlik doğrulama hakkında daha fazla ayrıntı için bkz. Genel ayarlar )

2. IP Kısıtlamalı Kullanıcı Girişi: Yalnızca onaylanmış IP aralıklarından (ör. şirket VPN/ağı) erişime izin verir.

3. Alan Adı Kısıtlamalı Kullanıcı Girişi: Panel kullanıcı oluşturma ve erişimini belirli e-posta alan adlarıyla sınırlar; böylece yalnızca onaylı alan adlarına sahip kullanıcılar uygulamaya erişebilir.

Ek Panel Yetkilendirme Kontrolleri:

• Rol Tabanlı Erişim Kontrolü: API anahtarı görünürlüğü panel rolleriyle kısıtlanabilir.

• Onay Mekanizması (Onaylayıcı): Mesaj gönderiminin onay gerektirecek şekilde yapılandırılabilir. Yetkili bir onaylayıcı işlemi onaylamadıkça mesajlar gönderilmez.

Roller ve onay akışları için bkz. Roller ve İzinler.

Önerilen Kurulum

1

REST API anahtarlarını yalnızca sunucu tarafında tutun

REST anahtarlarını mobil uygulamalarda göndermeyin. Bunları tarayıcı JavaScript’inde kullanmayın.

2

REST API IP beyaz listesini etkinleştirin

Yalnızca backend çıkış IP’lerinize izin verin.

3

Panel kimlik doğrulamasını güçlendirin

E-posta/SMS OTP’yi Genel Ayarlar.

4

Anahtarları kimin görüntüleyebileceğini azaltın

API anahtarı görünürlüğünü sınırlamak için rolleri kullanın. “admin” erişimini nadir tutun.

5

Mesaj gönderimi için onay zorunlu tutun (isteğe bağlı)

Birden fazla operatörünüz varsa Onaylayıcıyı etkinleştirin.