أسرار مفاتيح API: ما هي ولماذا لا يجب توزيعها يمينًا ويسارًا

مفتاح API هو تصريحك الرقمي الشخصي إلى عالم واجهات البرمجة. أستخدمها بنفسي باستمرار وفهمت شيئًا واحدًا: يجب أن تتعامل معها كما لو كانت مفاتيح شقتك - إذا فقدتها، سيتسلل الأشخاص الغرباء إلى مساحتك.

ما هو API ولماذا نحتاج إلى المفاتيح؟

تخيل أن API هو نادل في مطعم. أنت (تطبيق) تريد طبق (بيانات)، بينما النادل يجري بين المطبخ (خادم) وأنت. بدون النادل، ستضطر للذهاب إلى المطبخ بنفسك - وهناك فوضى!

عندما استخدمت API خدمات العملات المشفرة لأول مرة، اندهشت من مدى سهولة ذلك. يمكن الحصول على الأسعار وأحجام التداول ورأس المال من خلال طلب واحد فقط. ولكن يجب أن تعرف النظام - أنني أنا من أطلب ذلك، وليس أي نصاب.

وهنا يظهر مفتاح API - رمز فريد يخبر النظام: "نعم، أنا هو، دعني أمر".

تشريح مفتاح API

في بعض المنصات، يكون مفتاح API مجرد سلسلة واحدة من الرموز. في منصات أخرى، يكون مجموعة كاملة من المفاتيح. لقد عملت مع منصات تداول مختلفة، وكان الأمر مختلفًا في كل مكان: في مكان ما يوجد مفتاحان ( عامًا وسريًا )، وفي أماكن أخرى يوجد ثلاثة.

هذه المفاتيح تؤدي وظيفتين رئيسيتين:

• المصادقة: "هل أنت حقًا من تدعي أنك؟"
• التفويض: "ما الذي يُسمح لك بفعله؟"

التواقيع والتشفير — سحر رياضي

تعتبر التوقيعات التشفيرية مثيرة للاهتمام بشكل خاص. عندما أرسل طلبًا عبر API، قد تتطلب النظام توقيعًا - إنه مثل الختم على الوثيقة الذي يؤكد صحتها.

توجد طريقتان:

المفاتيح المتماثلة: يتم استخدام نفس السر لإنشاء والتحقق من التوقيع. سريع، لكنه أقل موثوقية إذا تم سرقة السر.

المفاتيح غير المتماثلة: زوج من المفاتيح - خاص (فقط لي) وعام (يمكن للجميع رؤيته). أنا أوقع باستخدام الخاص، ويمكن لأي شخص لديه العام التحقق. في وقت ما، قمت بنشر المفتاح العام عن طريق الخطأ في المستودع - كان ذلك مقبولاً، ولكن مع الخاص، هذا غير مقبول!

إلى أي مدى تعتبر مفاتيح API آمنة؟

بصراحة؟ ليس كثيرًا. ذات مرة تركت مفتاح API في الكود الذي قمت بتحميله على GitHub. بعد ساعة لاحظت نشاطًا مشبوهًا - كان شخص ما يحاول إجراء معاملات! لحسن الحظ، سحبت المفتاح في الوقت المناسب.

يعمل القراصنة حرفياً على مطاردة مفاتيح API في المستودعات العامة. يقومون بتشغيل الروبوتات التي تفحص GitHub بحثاً عن المفاتيح التي تم نشرها عن طريق الخطأ.

كيف أحمي مفاتيح API الخاصة بي

بعد تلك الحادثة، وضعت طقوسي الخاصة:

1. أغير المفاتيح كل شهر. نعم، هذا قليل من المتاعب في إعداد السكريبتات، لكن الأمان أهم.

2. أستخدم قائمة بيضاء لعناوين IP. حتى إذا قام شخص ما بسرقة المفتاح، فلن يتمكن من استخدامه إلا من عناوين مسموح بها.

3. أخلق مفاتيح مختلفة لمهام مختلفة. واحد لقراءة البيانات، وآخر للتداول، وثالث للسحب - بمستويات وصول مختلفة.

4. أحتفظ بالمفاتيح بشكل مشفر، باستخدام مدير كلمات المرور.

5. نادراً ما أشارك المفاتيح. طلب مني أحد معارفي مفتاح "فقط للتحقق من شيء ما" - لقد رفضت ذلك بشكل قاطع. إنه كأن تعطي شخصاً ما بطاقة البنك الخاصة بك مع رقم التعريف الشخصي.

إذا لاحظت شيئًا غريبًا - قم بإيقاف المفاتيح على الفور! من الأفضل أن تكون حذرًا وتفقد بعض الوقت بدلاً من أن تفقد كل أموالك.

مفاتيح API هي جواز سفرك الرقمي. احرص على حمايتها كالعين، خاصة عندما يتعلق الأمر بالعمليات المالية.