Funguo zinazoweza kuchapishwa na za siri: kuweka data ya uthibitishaji mbali na mteja

Toden inakupa aina mbili za API ufunguo, na kanuni ya kuutumia ni fupi: ufunguo unaoweza kuchapishwa (pk_) huingia kwenye ukurasa wako wa wavuti au programu ya simu, na ufunguo wa siri (sk_) haiondoki kamwe kwenye seva yako. Ufunguo unaoweza kuchapishwa unaweza kuanza uthibitishaji na kusoma hali ndogo. Hauwezi kusoma jina, tarehe ya kuzaliwa, nambari ya kitambulisho au selfie. Ufunguo wa siri unaweza kusoma yote hayo.

Ili kuzuia ufunguo unaovuja, una levers tatu: orodha ya ruhusa kwenye ufunguo (asili ya wavuti kwa ufunguo unaoweza kuchapishwa, anwani za IP au masafa kwa ufunguo wa siri), funguo za kila huduma ili ubatilishaji mmoja usiondoe kila kitu, na ubatilishaji wa mara moja. Sehemu iliyobaki ya makala haya inaelezea kwa nini mgawanyiko hufanya kazi jinsi unavyofanya kazi na jinsi ya kutumia levers hizo kabla ya kuzihitaji.

Kwa nini uthibitisho API Unahitaji aina mbili za funguo?

Kwa sababu ufunguo wowote utakaoweka kwenye mteja hatimaye utasomwa na mtu ambaye hukumkusudia. Programu ya simu inaweza kugawanywa. Kifurushi cha wavuti kinaweza kufunguliwa katika zana za wasanidi programu. Kuchukulia ufunguo wa mteja kama siri ni tumaini, si udhibiti.

Kwa hivyo muundo hudhania uvujaji wa ufunguo wa mteja na hupunguza kile kinachoweza kufanya. Jedwali lililo hapa chini limechukuliwa kutoka kwa hati ya uthibitishaji (hufunguka kwenye kichupo kipya) .

Ufunguo ni kiambishi awali chake kinachofuatwa na herufi 32 za alfabeti nasibu, kwa mfanopk_test_aB3dE5fG7hJ9kL1mN3pQ5rS7tU9vW1xYKiambishi awali humwambia mkaguzi wa kibinadamu kwa mtazamo wa upeo na mazingira anayoyaangalia, jambo ambalo ni muhimu wakati ufunguo unapoonekana kwenye logi au ombi la kuvuta.

Mtu anaweza kufanya nini na ufunguo unaoweza kuchapishwa uliovuja?

Wanaweza kuanza uthibitishaji dhidi ya akaunti yako na kutathmini hali yao ndogo. Hawawezi kusoma matokeo ya uthibitishaji wowote, wako au wao, kwa sababu sehemu kamili ya matokeo inakataa ufunguo unaoweza kuchapishwa na403 secret_key_required.

Hilo ni kikomo chenye maana, lakini si sifuri. Katika Uzalishaji, kila uthibitisho uliokamilika hutozwa kwenye salio lako la mkopo, kama nyaraka za mazingira (hufunguka kwenye kichupo kipya) zinavyoeleza. Ufunguo unaoweza kuchapishwa ulionakiliwa kwenye tovuti nyingine unaweza kutumika kutekeleza hundi unazolipa. Hiyo ndiyo hatari ambayo orodha ya ruhusa ya asili iliyo hapa chini ipo kupunguza.

Mtu anaweza kufanya nini na ufunguo wa siri uliovuja?

Soma data ya utambulisho. Ufunguo wa siri unaweza kupiga simuGET /api/kyc/verifications/:idkwa matokeo kamili (data ya kibiolojia, nambari ya kitambulisho cha maandishi wazi, ulinganisho wa uso) naGET /api/kyc/verifications/:id/media/:kindkwa picha za kujipiga picha, picha za hati na video ya kusisimua. Inaweza pia kuita kila sehemu ya mwisho ya Risk Intelligence.

Chukulia ufunguo wa siri kama nenosiri la hifadhidata. Uvujaji ni tukio la kufichua data kwa shirika lako, na mchakato wako wa tukio na majukumu yako ya kisheria yanatumika. Hizo hutofautiana kulingana na mamlaka, na makala haya ni taarifa ya jumla badala ya ushauri wa kisheria.

Kila ufunguo unapaswa kukaa wapi katika ujumuishaji wa kawaida?

Hapa kuna umbo la kawaida kwa programu inayowaunganisha wateja:

1. Programu huweka Toden SDK na ufunguo unaoweza kuchapishwa . Mwombaji anakamilisha idhini, kukamatwa na kuishi, na SDK huwasilisha uthibitisho.

2. Programu inaonyesha skrini ya "tunaangalia maelezo yako". Ikiwa inahitaji kuonyesha maendeleo, huchagua hali ya chini kabisa kwa kutumia kitufe kinachoweza kuchapishwa.

3. Sehemu yako ya nyuma hupokea kiambato cha wavuti kilichosainiwa kwa ajili ya uthibitishaji.

4. Sehemu yako ya nyuma huita matokeo kamili kwa kutumia ufunguo wa siri , husasisha rekodi ya mteja na huamua kile ambacho programu itaonyesha baadaye.

Data ya utambulisho wa mwombaji husafiri kutoka kwenye kifaa hadi Toden na kutoka Toden kwenye seva yako. Haihitaji kamwe kurudi kwenye kifaa, na kwa mpangilio huu haiwezi, kwa sababu ufunguo pekee kwenye kifaa hauruhusiwi kuuchukua.

Kosa la mara kwa mara ni kufanya hatua ya mkato ya hatua ya 4 kwa kuita sehemu ya mwisho ya matokeo kutoka kwa programu "kwa ajili ya skrini ya mafanikio tu". Hilo linahitaji ufunguo wa siri kwenye kifaa, ambao unashinda muundo mzima. Itumie programu mambo machache inayohitaji kutoka sehemu yako ya nyuma badala yake.

Mazingira huingiliana vipi na funguo?

Kila ufunguo ni wa mazingira moja, na data haivunjiki kati yake.pk_test_kazi muhimu dhidi ya Sandbox napk_live_ufunguo dhidi ya Uzalishaji. Funguo, uthibitishaji, sehemu za mwisho za wavuti na usanidi wote umeelekezwa kwenye mazingira moja.

Kutumia ufunguo mahali pasipofaa hurejesha403 environment_mismatchKanuni ya vitendo kutoka kwa nyaraka ni kuweka mazingira moja katika mtiririko mzima: SDK Kipachiko cha Sandbox hutumiapk_test_ufunguo, na sehemu ya nyuma inayosoma matokeo hayo hutumiask_test_ufunguo.

Funguo za uzalishaji pia hutegemea wasifu wa biashara yako. Hadi uthibitisho wa biashara ya shirika lako ( KYB ) imeidhinishwa, maombi ya kuthibitisha uzalishaji na kupakia yanakataliwa nabusiness_not_approvedSandbox inafanya kazi kote.

Unawezaje kuzuia ufunguo kabla haujavuja?

Kwenye dashibodi, chini ya Wasanidi Programu → API Funguo , kila ufunguo unaweza kubeba orodha ya vibali. Aina ya orodha ya vibali hufuata wigo wa ufunguo, kwa sababu hapo ndipo kila udhibiti hufanya kazi.

Pointi mbili zinafuata kutoka kwenye jedwali hilo.

Kwanza, orodha ya ruhusa ya asili ni kidhibiti cha kivinjari. Inafaa kusanidiwa kwa ajili ya ujumuishaji wa wavuti, na haifanyi chochote kwa programu ya simu, kwa sababu programu asilia haitumiiOriginKwa simu za mkononi, kikomo cha ufunguo unaoweza kuchapishwa unaovuja ni upeo wake, si orodha ya vibali.

Pili, orodha ya vibali vya IP ndiyo udhibiti mkubwa zaidi ulio nao kwenye ufunguo wa siri, na ni nafuu ikiwa sehemu yako ya nyuma ina anwani za uondoaji zisizobadilika. Orodhesha IP za umma za seva zako. Ikiwa sehemu yako ya nyuma inaendeshwa kwa miundombinu bila uondoaji usiobadilika, hilo linafaa kujua kabla ya kuchagua mahali ambapo ufunguo wa siri unaishi.

Orodha tupu ya ruhusa inamaanisha ufunguo unafanya kazi kutoka popote. Kuiacha tupu ni chaguo, kwa hivyo ifanye kwa makusudi.

Unapaswa kufanya nini ufunguo unapovuja?

Fanya kazi kupitia hili kwa mpangilio ufuatao:

1. Batilisha ufunguo katika Wasanidi Programu → API Funguo . Kufuta ni mara moja: ombi linalofuata pamoja na urejeshaji huo wa funguo401.

2. Unda mbadala wenye upeo na mazingira sawa, na uutumie. Kwa ufunguo unaoweza kuchapishwa katika programu ya simu, hiyo inamaanisha kutolewa kwa programu, kwa hivyo pengo kati ya hatua ya 1 na 2 ni halisi. Panga kwa ajili yake.

3. Angalia njia yako ya ukaguzi. Uundaji na ubatilishaji wa funguo hutoaapi_key.creatednaapi_key.revokedwebhooks, ili zana zako za usalama ziweze kurekodi ni nani aliyebadilisha nini na lini.

4. Kwa ufunguo wa siri, tathmini udhihirisho. Amua ufunguo unaweza kufikia nini na kwa muda gani, na ufuate mchakato wako mwenyewe wa tukio.

Ikiwa ufunguo haujavuja na unazunguka kwa ratiba, badilisha hatua ya 1 na 2: tengeneza na utumie ufunguo mpya kwanza, thibitisha trafiki imehama, kisha ubatilishe ule wa zamani. Kufuta kwanza kutavunja kila ombi lililopo kati.

Ni tabia gani zinazoweka radius ya mlipuko mdogo?

• Funguo moja kwa kila huduma au mazingira. Ikiwa huduma yako ya uandikishaji na kazi yako ya kuripoti inashiriki ufunguo wa siri, kuufuta huondoa zote mbili. Funguo tofauti hukuruhusu kufuta moja.

• Hifadhi funguo za siri katika kidhibiti cha siri wakati wa kuunda. Ufunguo wa siri huonyeshwa mara moja tu. Baadaye dashibodi inaonyesha kiambishi awali chake pekee, kwa hivyo hakuna cha kunakili baadaye.

• Weka funguo nje ya hazina. Ufunguo uliowekwa kwenye hazina ya umma unapaswa kuchukuliwa kama uliovuja, hata kama ahadi itaondolewa.

• Tumia_test_funguo katika maendeleo na CI. Hifadhi_live_funguo za trafiki ya uzalishaji.

• Weka kikomo cha nani anayeweza kudhibiti funguo. Kuunda au kubatilisha ufunguo kunahitajiapi_keys:createruhusa. Wajumbe bila hiyo wanaona funguo za kusoma pekee.

Kanuni ya kutumika

Unapokagua muunganisho, uliza swali moja la kila mahali ufunguo unapoonekana: je, mtu aliyeshikilia kifaa hiki au anayesoma kifurushi hiki anaweza kutumia ufunguo huu kusoma data ya utambulisho? Ikiwa jibu ni ndiyo mahali popote nje ya seva zako, muundo si sahihi, chochote kingine ni sahihi kuuhusu.

Kisha angalia mambo matatu: ufunguo unaoweza kuchapishwa kwenye wavuti una orodha ya ruhusa ya asili, kila ufunguo wa siri una orodha ya ruhusa ya IP ambapo miundombinu yako inaruhusu, na timu yako imefanya mazoezi ya hatua za kubatilisha na kubadilisha. Nyaraka za msanidi programu zinashughulikia sehemu za mwisho za kila ufunguo unaofikiwa, na ukurasa wa usalama unashughulikia jinsi Toden hushughulikia data upande wake.