مفتاح API

مفتاح واجهة برمجة التطبيقات ( API ) هو مُعرّف فريد سري يُستخدم للتحقق من هوية المستخدم أو المطور أو البرنامج المُستدعي وتفويضه للوصول إلى واجهة برمجة التطبيقات . ^{[ 1 ] [ 2 ]}

يوصي مزودو خدمات الحوسبة السحابية مثل منصة جوجل السحابية وخدمات أمازون السحابية باستخدام مفاتيح واجهة برمجة التطبيقات (API) فقط للتحقق من هوية المشاريع، وليس المستخدمين البشريين. ^{[ 3 ] [ 4 ]}

لا تُعتبر مفاتيح واجهة برمجة التطبيقات (API) آمنة بشكل عام؛ إذ يسهل على العملاء الوصول إليها ، مما يُسهّل سرقتها. غالبًا ما تكون هذه المفاتيح بلا تاريخ انتهاء صلاحية، ما يعني إمكانية استخدام المفتاح المسروق إلى أجل غير مسمى ما لم يتم إلغاؤه أو إعادة إنشائه. ^{[ 6 ]} من المفترض أن تكون المفاتيح سرًا لا يعرفه إلا العميل والخادم ، لذا لا ينبغي نقلها عبر قنوات غير آمنة ، ولا تُعتبر آمنة إلا عند استخدامها مع آليات أمان أخرى مثل HTTPS . ^{[ 5 ]}

توجد عدة سيناريوهات خطرة عند استخدام مفاتيح واجهة برمجة التطبيقات (API):

• قد يقوم المطورون بكتابة نصوص برمجية تحتوي على مفاتيح كنص عادي . ^{[ 2 ]}
• قد يقوم المطورون بتضمين المفاتيح بشكل ثابت في شفرة المصدر ، ثم ينسون ذلك عند إصدار الشفرة. ^{[ 2 ]}
• يُعدّ وجود مفاتيح غير محمية في تطبيقات الهاتف المحمول أمرًا خطيرًا. ^{[ 2 ]}

تنشأ هذه المخاطر عمومًا من كون المفتاح موجودًا كنص عادي، مما يجعله في متناول الخصوم. ^{[ 2 ]}

في عام 2017، قامت شركة Fallible، وهي شركة أمنية مقرها ولاية ديلاوير، بفحص 16000 تطبيق أندرويد وحددت أكثر من 300 تطبيق تحتوي على مفاتيح API مضمنة في التعليمات البرمجية لخدمات مثل Dropbox و Twitter و Slack . ^{[ 7 ]}

• لماذا ومتى يتم استخدام مفاتيح API