Как сохранить API-ключи в безопасности: белый список IP и защита от повтора

Безопасность API держится не на одной мере, а на слоях. Reseller API от VDS Host предлагает три базовых слоя.

1. Подпись HMAC

Каждый запрос подписывается вашим секретным ключом. Секрет никогда не передаётся по сети; передаётся только подпись. Это затрудняет компрометацию ключа.

2. Белый список IP

Ваш ключ принимает вызовы только с IP-адресов, заданных в панели. Даже если ключ утечёт, его нельзя использовать с другого IP.

3. Метка времени и защита от повтора

Благодаря метке времени в подписи перехваченный запрос нельзя воспроизвести позже. Все вызовы отслеживаются в таблице reseller_api_logs.

Лучшие практики

Регулярно меняйте ключи, используйте отдельные ключи для продакшена и тестов и держите белый список как можно уже.