Whitelist IP untuk Kunci API
Burung
19 Agu 2015
1 min read
Intisari Utama
API keys adalah kredensial yang kuat — jika dikompromikan, penyerang dapat mengirim email, mencuri data, atau menyamar sebagai merek Anda.
Brute-forcing kunci hex 40 karakter pada dasarnya tidak mungkin; ancaman nyata datang dari paparan (serangan MITM, repositori kode yang tidak aman, kredensial bocor).
Selalu gunakan HTTPS dan validasi sertifikat SSL untuk mencegah penyadapan kunci API Anda.
IP whitelisting menambahkan lapisan perlindungan penting dengan membatasi penggunaan kunci pada IP atau rentang IP tertentu.
Bahkan jika penyerang mencuri kunci API Anda, mereka tidak dapat menggunakannya kecuali mereka terhubung dari IP yang disetujui.
Dukungan CIDR memudahkan untuk mengotorisasi seluruh jaringan tanpa mencantumkan setiap server.
Hindari menyematkan kunci API dalam kode — gunakan variabel lingkungan atau solusi manajemen rahasia yang aman sebagai gantinya.
Buat beberapa kunci API dengan ruang lingkup sempit daripada satu kunci “do-everything” — masing-masing dengan izin terbatas dan whitelist-nya sendiri.
Untuk integrasi pihak ketiga, buat kunci khusus dengan izin terbatas dan IP yang dibatasi.
Aktifkan 2FA pada akun Anda karena kunci API hanya dapat dibuat melalui UI.
Tinjau secara berkala, putar, dan pensiunkan kunci untuk menjaga keamanan operasional yang kuat.
Sorotan Q&A
Apa itu IP whitelisting?
Ini adalah fitur keamanan yang membatasi penggunaan API key untuk alamat IP tertentu atau rentang IP.
Mengapa SparkPost/Bird menggunakan API keys untuk autentikasi?
Kunci API itu sederhana, banyak diadopsi, dan bekerja dengan baik dengan REST API dan SMTP.
Apa yang terjadi jika seseorang mencuri kunci API saya?
Mereka dapat mengirim email atas nama Anda, mengunduh daftar penerima, memodifikasi template, atau mengirim phishing/spam yang merusak merek Anda.
Bisakah kunci API di-brute-force?
Hampir tidak mungkin. Sebuah string heksadesimal 40 karakter memiliki ~1.46e48 kombinasi — metode brute force akan memakan waktu lebih lama daripada usia alam semesta.
Jadi bagaimana para penyerang biasanya mendapatkan API keys?
Serangan man-in-the-middle (jika SSL tidak diverifikasi), kunci diekspos di repositori GitHub publik, atau log secara tidak sengaja membocorkan kunci.
Bagaimana IP whitelisting membantu?
Bahkan jika seorang penyerang mencuri kunci Anda, itu tidak akan berfungsi kecuali mereka terhubung dari IP yang disetujui.
Bisakah saya memasukkan seluruh jaringan ke daftar putih?
Ya, melalui notasi CIDR — ideal untuk server yang load-balanced, VPN, atau rentang kantor statis.
Apakah whitelisting berlaku untuk REST dan SMTP?
Ya, IP permintaan masuk harus cocok dengan daftar putih Anda.
Berapa banyak IP atau rentang yang dapat saya whitelist?
Sebanyak yang Anda butuhkan — beberapa IP individu atau blok.
Haruskah saya menggunakan satu API key untuk semuanya?
Tidak. Buat kunci terpisah untuk sistem, tim, atau vendor yang berbeda. Ini meningkatkan keamanan dan mempermudah perputaran atau pencabutan kunci.
Di mana sebaiknya saya menyimpan API keys?
Gunakan variabel lingkungan — jangan pernah memasukkan kunci langsung ke dalam file sumber atau repositori publik.
Ada praktik terbaik keamanan tambahan?
Selalu aktifkan 2FA pada akun SparkPost/Bird Anda dan buat kunci khusus untuk pihak ketiga dengan izin minimal dan daftar putih mereka sendiri.
