เอกสาร API Hop
ความปลอดภัยและการตั้งค่า
การสร้างคีย์ API ควบคุมสิทธิ์ หมุนเวียนคีย์ และแนวปฏิบัติความปลอดภัย
หลักสำคัญของการปกป้องคีย์ API คือ ไม่เปิดเผย ใช้สิทธิ์น้อยที่สุด หมุนเวียนสม่ำเสมอ และติดตามการใช้งานได้
ควรจัดการและปกป้องคีย์ API อย่างไร?
แนวปฏิบัติที่แนะนำ:
- อย่าคอมมิตคีย์ API ลงคลังสาธารณะ หน้าเว็บฝั่งผู้ใช้ แพ็กเกจมือถือ หรือภาพหน้าจอ
- อ่านคีย์ API จากตัวแปรสภาพแวดล้อมหรือตัวจัดการความลับบนเซิร์ฟเวอร์
- สร้างคีย์ API แยกสำหรับพัฒนา ทดสอบ และใช้งานจริง
- สร้างคีย์แยกสำหรับบริการหรือแอปต่างกันเพื่อเพิ่มการติดตามและแยกขอบเขต
- กำหนดสิทธิ์โมเดลตามจำเป็นและตั้งวันหมดอายุเมื่อเหมาะสม
- หมุนเวียนคีย์ API สม่ำเสมอ และทันทีหลังเปลี่ยนบุคลากร ปิดบริการ หรือสงสัยการรั่วไหล
หากคีย์ API อาจรั่วไหล:
- ปิด ลบ หรือหมุนเวียนคีย์เดิมทันที
- สร้างคีย์ใหม่และอัปเดตทุกบริการที่พึ่งพา
- ตรวจการใช้งานล่าสุด การเปลี่ยนยอดเงิน และรายจ่ายผิดปกติ
- จำกัดสิทธิ์โมเดลให้แคบลงและพิจารณาวันหมดอายุที่สั้นลง
- ตรวจเส้นทางรั่วไหล เช่น คลังโค้ด บันทึก การตั้งค่า CI หรือไคลเอนต์บุคคลที่สาม
คีย์ API รั่วไหลอาจทำให้เกิดการเรียกที่ไม่ได้รับอนุญาตและสูญเสียเงิน แม้คีย์ทดสอบก็ควรปกป้องเหมือนความลับระบบจริง
ดูคีย์ API แบบเต็มหลังสร้างได้อีกหรือไม่?
ไม่ได้ คีย์ API แบบเต็มแสดงเฉพาะในขั้นตอนสร้างสำเร็จ หลังจากนั้นคอนโซลแสดงเพียงตัวอย่างที่ปิดบัง
ก่อนปิดกล่องสร้างคีย์ ให้เก็บคีย์ในตัวแปรสภาพแวดล้อมฝั่งเซิร์ฟเวอร์หรือตัวจัดการความลับ คีย์ที่หายไม่สามารถกู้ผ่าน API ผู้ใช้หรือผู้ดูแลได้ ให้สร้างคีย์แทน อัปเดตผู้เรียก แล้วลบคีย์เก่า แม่แบบเชื่อมต่อสำหรับ AI ในเอกสารใช้ตัวยึดตำแหน่ง <API_KEY> และไม่โหลดคีย์เก่า
ควรส่งคีย์ API อย่างไร?
ส่งคีย์ API ในส่วนหัวคำขอเท่านั้น เราแนะนำ:
Authorization: Bearer YOUR_API_KEYคุณอาจใช้:
X-API-Key: YOUR_API_KEYห้ามใส่ข้อมูลรับรอง API API Hop ในพารามิเตอร์ URL ชื่อแบบข้อมูลรับรอง (apiKey, api_key, apikey, x-api-key และ key) โดยปกติทำให้เกิด HTTP 400 ข้อยกเว้นพารามิเตอร์ธุรกิจ Similarweb แบบจำกัดใช้กับคำขอ GET เท่านั้น: /v1/similarweb/websites/backlinks รับชื่อโฮสต์ Key ตัวพิมพ์ใหญ่หนึ่งค่า ส่วน /v1/similarweb/websites/outgoing-traffic, /websites/incoming-referrals และ /websites/similar-sites/suggestions รับชื่อโฮสต์ key ตัวพิมพ์เล็กหนึ่งค่า (ทั้งหมดอยู่ใต้ /v1/similarweb) ฟิลด์เหล่านี้ระบุเว็บไซต์เป้าหมาย ไม่ใช่ข้อมูลรับรอง API ชื่อโฮสต์ต้องถูกต้อง ค่าซ้ำ ตัวพิมพ์ผิด ค่าคล้ายข้อมูลรับรอง และฟิลด์ข้อมูลรับรองเพิ่มเติมใน query ยังถูกบล็อก ยืนยันตัวตนด้วยส่วนหัวคำขอเสมอ รวมถึงเส้นทาง Similarweb ดูตัวอย่างคำขอ Similarweb
กฎนี้ไม่กระทบพารามิเตอร์ธุรกิจอื่น เช่น OAuth token, apiKeyId, username หรือ pagination_token