Whitelist IP per chiavi API
Uccello
19 ago 2015
1 min read
Punti Chiave
Le chiavi API sono credenziali potenti: se compromesse, gli aggressori possono inviare email, rubare dati o impersonare il tuo marchio.
Forzare una chiave esadecimale di 40 caratteri è praticamente impossibile; le minacce reali derivano dall'esposizione (attacchi MITM, repository di codice non sicuri, credenziali trapelate).
Usa sempre HTTPS e convalida i certificati SSL per prevenire l'intercettazione delle tue chiavi API.
La whitelist degli IP aggiunge uno strato critico di protezione limitando l'uso di una chiave a IP specifici o a intervalli di IP.
Anche se un aggressore ruba la tua chiave API, non può usarla a meno che non si connetta da un IP approvato.
Il supporto CIDR semplifica l'autorizzazione di intere reti senza elencare ogni server.
Evita di incorporare le chiavi API nel codice: utilizza variabili ambientali o soluzioni sicure di gestione dei segreti.
Crea più chiavi API a scopo ristretto piuttosto che una singola chiave “fai-tutto” — ciascuna con permessi limitati e la propria whitelist.
Per integrazioni di terze parti, crea chiavi dedicate con concessioni ristrette e IP limitati.
Abilita il 2FA sul tuo account poiché le chiavi API possono essere create solo tramite l'interfaccia utente.
Rivedi, ruota e termina regolarmente le chiavi per mantenere una forte sicurezza operativa.
Punti salienti del Q&A
Che cos'è il whitelisting degli IP?
È una funzione di sicurezza che limita l'uso della chiave API a indirizzi IP specifici o a intervalli di indirizzi IP.
Perché SparkPost/Bird utilizza le chiavi API per l'autenticazione?
Le chiavi API sono semplici, ampiamente adottate e funzionano in modo pulito con le API REST e SMTP.
Cosa succede se qualcuno ruba la mia chiave API?
Potrebbero inviare email a nome tuo, scaricare elenchi di destinatari, modificare modelli o inviare phishing/spam che danneggia il tuo marchio.
Le chiavi API possono essere forzate a mano?
Praticamente impossibile. Una stringa esadecimale di 40 caratteri ha ~1.46e48 combinazioni: forzare ogni combinazione richiederebbe più tempo dell'età dell'universo.
Quindi, come ottengono normalmente le chiavi API gli attaccanti?
Attacchi man-in-the-middle (se SSL non è verificato), chiavi esposte in repository pubblici di GitHub o log che perdono accidentalmente chiavi.
Come aiuta la whitelist di IP?
Anche se un attaccante ruba la tua chiave, non funzionerà a meno che non si colleghi da un IP approvato.
Posso autorizzare intere reti?
Sì, tramite notazione CIDR — ideale per server bilanciati, VPN o range statici per uffici.
L'esclusione si applica sia a REST che a SMTP?
Sì, l'IP della richiesta in arrivo deve corrispondere alla tua lista bianca.
Quanti IP o intervalli posso autorizzare?
Quanti ne hai bisogno - più indirizzi IP individuali o blocchi.
Dovrei usare una sola chiave API per tutto?
No. Creare chiavi separate per sistemi, team o fornitori diversi. Questo migliora la sicurezza e rende più facile ruotare o revocare le chiavi.
Dove dovrei conservare le chiavi API?
Utilizza le variabili d'ambiente: non inserire mai le chiavi direttamente nei file sorgente o nei repository pubblici.
Quali ulteriori pratiche di sicurezza consigliate?
Abilita sempre la 2FA sul tuo account SparkPost/Bird e crea chiavi dedicate per parti terze con permessi minimi e le loro proprie whitelist.
