Daftar Putih IP untuk Kunci API
Burung
19 Agu 2015
1 min read
Poin Penting
Kunci API adalah kredensial yang kuat — jika dikompromikan, penyerang dapat mengirim email, mencuri data, atau menyamar sebagai merek Anda.
Menggunakan metode brute-force untuk kunci hex 40 karakter hampir tidak mungkin; ancaman nyata datang dari paparan (serangan MITM, repositori kode yang tidak aman, kredensial yang bocor).
Selalu gunakan HTTPS dan validasi sertifikat SSL untuk mencegah penyadapan kunci API Anda.
Whitelist IP menambahkan lapisan perlindungan penting dengan membatasi penggunaan kunci pada IP atau rentang IP tertentu.
Bahkan jika penyerang mencuri kunci API Anda, mereka tidak dapat menggunakannya kecuali mereka terhubung dari IP yang disetujui.
Dukungan CIDR memudahkan untuk mengizinkan seluruh jaringan tanpa mencantumkan setiap server.
Hindari menyematkan kunci API dalam kode — gunakan variabel lingkungan atau solusi pengelolaan rahasia yang aman sebagai gantinya.
Buat beberapa kunci API dengan cakupan sempit daripada satu kunci “yang melakukan segalanya” — masing-masing dengan izin terbatas dan daftar putihnya sendiri.
Untuk integrasi pihak ketiga, buat kunci khusus dengan izin terbatas dan IP terbatas.
Aktifkan 2FA di akun Anda karena kunci API hanya dapat dibuat melalui UI.
Tinjau, putar, dan pensiun kunci secara teratur untuk menjaga keamanan operasional yang kuat.
Sorotan Tanya jawab
Apa itu pendaftaran IP?
Ini adalah fitur keamanan yang membatasi penggunaan kunci API hanya untuk alamat IP tertentu atau rentang alamat IP.
Mengapa SparkPost/Bird menggunakan kunci API untuk autentikasi?
Kunci API sederhana, banyak diadopsi, dan bekerja dengan baik dengan API REST dan SMTP.
Apa yang terjadi jika seseorang mencuri kunci API saya?
Mereka dapat mengirim email atas nama Anda, mengunduh daftar penerima, memodifikasi template, atau mengirim phishing/spam yang merusak merek Anda.
Bisakah kunci API dipaksa secara brute?
Sebenarnya tidak mungkin. String hex 40 karakter memiliki ~1.46e48 kombinasi — pemaksaan secara kasar akan memakan waktu lebih lama daripada usia alam semesta.
Jadi bagaimana biasanya penyerang mendapatkan kunci API?
Serangan man-in-the-middle (jika SSL tidak diverifikasi), kunci yang terekspos di repositori GitHub publik, atau log yang secara tidak sengaja membocorkan kunci.
Bagaimana whitelist IP membantu?
Even if an attacker steals your key, it won’t work unless they’re connecting from an approved IP.
Dapatkah saya menambahkan seluruh jaringan ke daftar yang diizinkan?
Ya, melalui notasi CIDR — ideal untuk server yang seimbang beban, VPN, atau rentang kantor statis.
Apakah pencantuman putih berlaku untuk REST dan SMTP?
Ya, IP permintaan yang masuk harus cocok dengan daftar whitelist Anda.
Berapa banyak IP atau rentang yang bisa saya putihkan?
Sejumlah yang Anda butuhkan — beberapa IP individu atau blok.
Haruskah saya menggunakan satu kunci API untuk semuanya?
Tidak. Buat kunci terpisah untuk sistem, tim, atau vendor yang berbeda. Ini meningkatkan keamanan dan memudahkan penggantian atau pencabutan kunci.
Di mana saya harus menyimpan kunci API?
Gunakan variabel lingkungan — jangan pernah mengkode kunci ke dalam file sumber atau repositori publik.
Apakah ada praktik terbaik keamanan tambahan?
Selalu aktifkan 2FA di akun SparkPost/Bird Anda dan buat kunci khusus untuk pihak ketiga dengan izin minimal dan daftar putih mereka sendiri.
