ফিচারড
03 /সার্ভার
03 /এডঅন সার্ভিসেস
04 /এপ্স & প্লাটফর্ম
04 /প্রক্সি আই পি & ভি পি এন
04 /ডোমেইন রিলেটেড
06 /সিকিউরিটি & হোস্টিং
07 /API কি ম্যানেজমেন্ট
একটি API কি আপনার অ্যাকাউন্ট তার কাছে থাকা যে কারও জন্য খুলে দেয়। নিজের কি প্রাইভেট রাখার উপায় এখানে।
৪টি চ্যাপ্টার আর একটি do/avoid চেকলিস্ট
একটি API কি হলো একটি সিক্রেট স্ট্রিং, যা স্ক্রিপ্ট বা অ্যাপ প্রতিটি রিকোয়েস্টের সাথে পাঠায়, যাতে একটি সার্ভিস জানে কে কল করছে আর তার কী করার অনুমতি আছে। পাসওয়ার্ডের মতো নয়, এটি সাধারণত সেকেন্ড লগইন স্টেপ ছাড়াই কাজ করে।
একটি কি-কে এমনভাবে ট্রিট করুন, যেন এটি সেই সবকিছুর পাসওয়ার্ড যা এটি অ্যাক্সেস করতে পারে।
মূল পয়েন্ট
বেশিরভাগ লিক অ্যাক্সিডেন্টাল: একটি কি Git রিপোজিটরিতে কমিট হয়ে যাওয়া, চ্যাট বা টিকিটে পেস্ট হয়ে যাওয়া, ফ্রন্ট-এন্ড জাভাস্ক্রিপ্টে থেকে যাওয়া যা যে কেউ পড়তে পারে, বা লগে প্রিন্ট হয়ে যাওয়া।
অটোমেটেড বট পাবলিক রিপোজিটরিতে পুশ হওয়ার কয়েক মিনিটের মধ্যেই কি স্ক্যান করে।
মূল পয়েন্ট
কোডের বাইরে কি রাখুন। এনভায়রনমেন্ট ভেরিয়েবল বা একটি সিক্রেটস ম্যানেজার থেকে এগুলো লোড করুন, আর লোকাল .env ফাইল ভার্সন কন্ট্রোলের বাইরে রাখুন:
# .gitignore
.env
# .env (never committed)
API_KEY=replace-with-your-keyCI/CD-তে, রিপোজিটরিতে ফাইল রাখার বদলে প্ল্যাটফর্মের সিক্রেট সেটিংস ব্যবহার করুন।
মূল পয়েন্ট
প্রতিটি অ্যাপকে তার নিজের কি দিন, শুধু যে পারমিশন লাগে তা সহ, যাতে একটি লিক সবকিছু এক্সপোজ না করে। নিয়মিত সূচিতে কি বদলান, আর অ্যাক্সেস থাকা কেউ চলে গেলেই।
একটি কি লিক হলে, আগে রিভোক করুন, তারপর নতুন একটি ইস্যু করুন আর আপনার অ্যাপ আপডেট করুন। কমিট ডিলিট করাই যথেষ্ট না; কি ইতিমধ্যে বের হয়ে গেছে।
মূল পয়েন্ট
চেকলিস্ট
Do
বা একটি সিক্রেটস ম্যানেজারে।
যাতে বাকিগুলো না ভেঙে একটি রিভোক করতে পারেন।
লেখার দরকার না থাকলে রিড-অনলি।
আর অ্যাক্সেস থাকা কেউ চলে গেলেই।
Avoid
প্রাইভেট রিপোজিটরিও শেয়ার বা লিক হয়ে যায়।
ব্রাউজারে পাঠানো জাভাস্ক্রিপ্ট যে কেউ পড়তে পারে।
মেসেজ কপি, ফরওয়ার্ড আর সংরক্ষিত হয়।
একটি লিক হওয়া কি রিভোক না হওয়া পর্যন্ত ভ্যালিড থাকে।
সাধারণ প্রশ্ন
একটি পাসওয়ার্ড একজন মানুষকে লগইন করায়; একটি API কি একটি প্রোগ্রামকে সার্ভিস কল করতে দেয়। কি প্রায়ই টু-ফ্যাক্টর লগইন স্কিপ করে, তাই একটি লিক হওয়া কি সাথে সাথে ব্যবহার করা যায়।
সাথে সাথে কি রিভোক করুন, একটি নতুন কি ইস্যু করুন আর আপনার অ্যাপ আপডেট করুন। তারপর রিপোজিটরি হিস্টোরি থেকে সেটা সরান, কিন্তু ধরে নিন এটি ইতিমধ্যে কপি হয়ে গেছে।
আপনার রিস্কের সাথে মানানসই একটি নিয়মিত সূচিতে, যেমন কয়েক মাস পরপর, আর একটি কি লিক হতে পারে বা অ্যাক্সেস থাকা কেউ চলে গেলে সাথে সাথে।
সিক্রেট কি নয়। ব্রাউজারে পাঠানো যা কিছু, যে কেউ পড়তে পারে। এর বদলে আপনার সার্ভার থেকে API কল করুন।
আমাদের সাপোর্ট টিমকে জিজ্ঞেস করুন, আপনার প্রোডাক্টের জন্য কী পাওয়া যায়।
আমাদের টিম আপনাকে সঠিক দিকে নির্দেশ দিতে পারে।