XIDDAA BLOG

Futbol API anahtarı güvenliği için üretim kontrol listesi

API anahtarlarını saklama, döndürme, iptal etme ve kullanım kayıtlarıyla izleme konusunda uygulanabilir güvenlik adımları.

API anahtarı, futbol verisi hesabınızın kimliği ve kullanım hakkıdır. Kaynak koda, tarayıcı JavaScript'ine, mobil uygulama paketine veya herkese açık CI loglarına eklenen anahtar kısa sürede kötüye kullanılabilir. Anahtarı yalnız güvenli sunucu ortam değişkeninde veya secret manager içinde saklayın.

İstemci uygulaması doğrudan xiddaa API'sine bağlanmak yerine kendi backend'iniz üzerinden istek göndermelidir. Backend kullanıcı yetkisini kontrol eder, gerekli endpoint'i çağırır ve yalnız ihtiyaç duyulan alanları istemciye döndürür. Bu katman aynı zamanda cache, rate limit ve denetim günlüğü için merkezi kontrol noktası sağlar.

Her servis veya ortam için ayrı anahtar üretmek olay müdahalesini kolaylaştırır. Test, staging ve production aynı anahtarı paylaşmamalı; kullanılmayan anahtarlar iptal edilmeli ve şüpheli durumda kalıcı olarak silinmelidir. Düzenli anahtar döndürme sürecinde eski ve yeni anahtarın kısa süre birlikte çalışması kesintisiz geçiş sağlar.

Kullanım günlüklerinde anahtarın tamamını hiçbir zaman saklamayın. Kimlik, ön ek, son kullanım zamanı, endpoint, durum kodu ve yanıt süresi izleme için yeterlidir. Beklenmeyen IP, sıra dışı trafik artışı veya sürekli yetki hatası tespit edildiğinde anahtarı panelden durdurup yeni kimlik bilgisi üretin.