Ang iyong mga API key ay ang daanan para sa iyong Cathopic account. Ang pagpapanatiling ligtas sa mga ito ay pumipigil sa hindi awtorisadong pag-access at nagpoprotekta laban sa pandaraya sa pagsingil.
Ang ginintuang tuntunin: Panatilihing lihim ang mga key
Tratuhin ang iyong mga API key na parang mga password. Mga karaniwang pagkakamaling dapat iwasan:
I-hardcode ang mga key nang direkta sa source code
I-commit ang mga key sa Git o iba pang version control
Gamitin ang mga key sa client-side JavaScript o mga mobile app
Ibahagi ang mga key sa pamamagitan ng email, Slack, o mga messaging app
Iimbak ang mga key sa mga pampublikong lokasyon (public repos, wikis, atbp.)
Gumamit ng environment variables
I-store ang mga key sa environment variables imbes na sa code:
// .env file (add to .gitignore!)
CATHOPIC_API_KEY=sk_live_abc123xyz789...
// Your code
require('dotenv').config();
const apiKey = process.env.CATHOPIC_API_KEY;Inihihiwalay nito ang sensitibong impormasyon sa iyong codebase at ginagawang mas madali ang pag-rotate ng key.
Para lamang sa server-side
Dapat maganap ang mga API call mula sa iyong mga backend server, hindi mula sa mga browser o mobile app. Kung kailangan ng mga user ng access sa mga mapagkukunan ng Cathopic:
Gumawa ng backend endpoint na gumagamit ng iyong API key
Ang iyong frontend ay tumatawag sa IYONG endpoint, hindi sa Cathopic nang direkta
Ibe-validate ng iyong server ang kahilingan ng user bago tumawag sa Cathopic
I-restrict ayon sa IP (kung posible)
Ang ilang infrastructure ay nagbibigay-daan sa IP whitelisting. Kung ang iyong mga API call ay nagmumula sa mga kilalang IP:
I-configure ang mga firewall rule upang limitahan ang outbound access
Gumamit ng mga dedicated service account na may pinakamababang permissions
Subaybayan ang access logs para sa hindi pangkaraniwang aktibidad
Kung may nakompromisong key
Kung pinaghihinalaan mong nalantad ang isang key:
Agad na gumawa ng bagong API key
I-update ang iyong application gamit ang bagong key
Tanggalin ang nakompromisong key
Suriin ang mga usage logs para sa kahina-hinalang aktibidad
Makipag-ugnayan sa support kung may makikita kang mga singiling na hindi awtorisado
Pamahalaan nang ligtas ang iyong mga key sa Settings → API.
