API 密钥的 IP 白名单
鸟
2015年8月19日
电子邮件
1 min read
关键要点
API keys 是强大的凭证——如果泄露，攻击者可以发送电子邮件，窃取数据或假冒您的品牌。
暴力破解 40 个字符的 hex key 基本上是不可能的；真正的威胁来自于信息暴露（MITM 攻击、不安全的代码库、凭证泄露）。
始终使用 HTTPS 并验证 SSL 证书以防止您的 API keys 被拦截。
IP 白名单通过限制 key 的使用至特定的 IP 或 IP 范围来添加重要的保护层。
即使攻击者窃取了您的 API key，除非他们从批准的 IP 连接，否则无法使用。
CIDR 支持使得授权整个网络变得容易，而无需列出每个服务器。
避免在代码中嵌入 API keys——请改用环境变量或安全的密钥管理解决方案。
创建多个范围狭窄的 API keys 而不是一个“全能”的 key——每个 key 具有有限权限及其自己的白名单。
对于第三方集成，创建具有受限授权和受限 IP 的专用 keys。
启用账户的 2FA，因为 API keys 只能通过 UI 创建。
定期审查、轮换和退役 keys 以维持强大的运营安全。
Q&A 精华
什么是IP whitelisting？
这是一个安全功能，限制 API 密钥使用范围到特定的 IP 地址或 IP 范围。
为什么SparkPost/Bird使用API keys进行身份验证？
API keys 是简单的，广泛采用，并且可以与 REST APIs 和 SMTP 紧密配合。
如果有人偷了我的API密钥会怎么样？
他们可以代表您发送邮件，下载收件人列表，修改模板，或发送损害您品牌的网络钓鱼/垃圾邮件。
API keys可以被暴力破解吗？
几乎不可能。一个40字符的十六进制字符串有大约 ~1.46e48 种组合——暴力破解所需的时间会比宇宙的年龄还要长。
那么攻击者通常如何获取 API keys？
中间人攻击（如果SSL没有验证）、在公共GitHub库中暴露的密钥或日志意外泄露密钥。
IP 白名单如何帮助？
即使攻击者偷走了您的密钥，除非他们从批准的IP连接，否则它也不起作用。
我可以将整个网络加入白名单吗？
是的，通过CIDR表示法——非常适合负载均衡服务器、VPN或静态办公范围。
Whitelisting 是否适用于 REST 和 SMTP？
是的，传入请求的IP必须与您的白名单匹配。
我可以将多少个 IP 或范围列入白名单？
您需要的数量不限—多个独立IP或区块。
我应该为所有事情使用一个API密钥吗？
不。为不同的系统、团队或供应商创建单独的密钥。这提高了安全性，并使密钥更容易轮换或撤销。
我应该在哪里存储 API keys？
使用环境变量——切勿将密钥硬编码到源文件或公共代码库中。
任何其他安全最佳实践？
始终在您的SparkPost/Bird账户上启用2FA，并为第三方创建专用密钥，给予最低限度的权限和他们自己的白名单。
