Güvenlik ve yapılandırma

API anahtarlarını korumanın temel ilkeleri açığa çıkarmamak, en az ayrıcalık, düzenli yenileme ve izlenebilir kullanımdır.

API anahtarlarını nasıl yönetip korumalıyım?

Öneriler:

• Anahtarları herkese açık depolara, ön yüz sayfalarına, mobil paketlere veya ekran görüntülerine koymayın.
• Sunucuda anahtarları ortam değişkenlerinden veya sır yöneticisinden okuyun.
• Geliştirme, test ve üretim için ayrı anahtarlar oluşturun.
• İzlenebilirlik ve yalıtım için farklı hizmet veya uygulamalara ayrı anahtarlar oluşturun.
• Model izinlerini gerektikçe yapılandırın ve uygun yerde bitiş tarihi ayarlayın.
• Anahtarları düzenli yenileyin; personel değişimi, hizmet kapanması veya sızıntı şüphesinde hemen yenileyin.

Anahtar sızmış olabilir ise:

1. Eski anahtarı derhal devre dışı bırakın, silin veya yenileyin.
2. Yeni anahtar oluşturup tüm bağımlı hizmetleri güncelleyin.
3. Son kullanımı, bakiye değişimlerini ve anormal harcamayı inceleyin.
4. Model izinlerini daraltın ve daha kısa geçerlilik düşünün.
5. Depolar, günlükler, CI ayarları veya üçüncü taraf istemciler gibi sızıntı yolunu inceleyin.

Anahtar sızıntısı yetkisiz çağrılara ve maddi kayba yol açabilir. Test anahtarları da üretim sırları gibi korunmalıdır.

Oluşturduktan sonra tam API anahtarını yeniden görebilir miyim?

Hayır. Tam anahtar yalnızca başarılı oluşturma akışında gösterilir. Konsol daha sonra yalnızca maskelenmiş önizleme gösterir.

Oluşturma penceresini kapatmadan önce anahtarı sunucu ortam değişkenine veya sır yöneticisine kaydedin. Kayıp anahtar kullanıcı veya yönetici API’leriyle kurtarılamaz. Yenisini oluşturun, çağıranı güncelleyin ve eskiyi silin. Belgelerin yapay zekâ entegrasyon şablonu <API_KEY> yer tutucusunu kullanır ve geçmiş anahtarları yüklemez.

API anahtarını nasıl göndermeliyim?

Anahtarları yalnızca istek başlıklarında gönderin. Önerimiz:

Authorization: Bearer YOUR_API_KEY

Şunu da kullanabilirsiniz:

X-API-Key: YOUR_API_KEY

RequestBeam API kimlik bilgilerini asla URL sorgusuna koymayın. Kimlik bilgisi türündeki adlar (apiKey, api_key, apikey, x-api-key ve key) normalde HTTP 400 üretir. Dar Similarweb iş parametresi istisnaları yalnızca GET isteklerine uygulanır: /v1/similarweb/websites/backlinks, büyük harfli Key alanında tek ana makine adı kabul eder; /v1/similarweb/websites/outgoing-traffic, /websites/incoming-referrals ve /websites/similar-sites/suggestions, küçük harfli key alanında tek ana makine adı kabul eder (hepsi /v1/similarweb altındadır). Bu alanlar API kimlik bilgisi değil hedef web sitesini belirtir. Ana makine adları geçerli olmalıdır. Tekrarlar, yanlış harf büyüklüğü, kimlik bilgisine benzeyen değerler ve ek kimlik sorgu alanları engellenmeye devam eder. Similarweb yolları dahil her zaman istek başlığıyla kimlik doğrulayın. Similarweb istek örneğine bakın.

Bu kural OAuth token, apiKeyId, username veya pagination_token gibi diğer iş parametrelerini etkilemez.