API anahtarı nedir?
API anahtarı, bir uygulamanın bir API’ye erişirken kendini tanıtmak için kullandığı uzun ve rastgele dizedir. Sunucu anahtara bakarak isteğin hangi uygulama veya hesaptan geldiğini bilir, kullanım kotasını uygular ve erişimi yetkilendirir. Anahtar çalınırsa başkası sizin adınıza istek yapabilir.
API anahtarı bir parola gibi ele alınmalıdır. Ödeme, e-posta, harita ve bulut hizmetleri gibi birçok servis bu yöntemi kullanır.
Nasıl çalışır?
Servis sağlayıcı hesabınız için bir anahtar üretir. Uygulamanız her istekte bu anahtarı bir HTTP başlığında veya parametrede gönderir. Sağlayıcı anahtarı doğrular, hangi işlemlere izin verildiğini kontrol eder ve kullanımı sayar. Bazı sağlayıcılar anahtarı yalnızca belirli IP adresleri, alan adları veya işlemlerle sınırlamanıza izin verir.
API anahtarı genellikle kimliği değil uygulamayı tanımlar. Kullanıcı bazlı ince yetki gerekiyorsa OAuth gibi daha kapsamlı yöntemler tercih edilir.
Sunucu ve hosting ortamında
Anahtarlar kaynak koduna, herkese açık git depolarına ya da web kökünde erişilebilir yapılandırma dosyalarına yazılmamalıdır. Bunun yerine ortam değişkenleri veya web kökü dışında tutulan, izinleri kısıtlı yapılandırma dosyaları kullanılır. WordPress’te wp-config.php ve eklenti ayarları sıkça anahtar barındırır; bu dosyaların dışarıdan okunamadığından emin olun.
Yedekler, günlük dosyaları ve hata mesajları da anahtar sızdırabilir. Sunucuda .env gibi dosyaların web üzerinden erişilebilir olup olmadığını düzenli kontrol edin.
Nasıl korunulur?
- Anahtarları kaynak kodundan ayırın; ortam değişkeni veya gizli bilgi yöneticisi kullanın.
- Mümkünse anahtarı IP, alan adı ve işlem bazında kısıtlayın.
- Her uygulama ve ortam (test, üretim) için ayrı anahtar oluşturun.
- Anahtarları düzenli olarak yenileyin; sızıntıdan şüphelenirseniz hemen iptal edin.
- Yalnızca gereken en düşük yetkiyi tanımlayın.
- Kullanımı izleyin; olağan dışı artışlar anahtarın kötüye kullanıldığını gösterebilir.
Sık yapılan hatalar
- Anahtarı herkese açık bir git deposuna göndermek.
- Tarayıcıya giden JavaScript koduna gizli anahtar gömmek.
- Tüm projelerde tek anahtar kullanmak.
- Sızan anahtarı iptal etmek yerine yalnızca depodan kaldırmak.
Sık sorulan sorular
API anahtarı nedir, ne işe yarar?
Bir uygulamanın API’ye kendini tanıtmasını sağlayan gizli bir dizedir. Sağlayıcı erişimi yetkilendirir ve kullanımı bu anahtar üzerinden izler.
API anahtarım sızdıysa ne yapmalıyım?
Anahtarı sağlayıcı panelinden hemen iptal edip yenisini oluşturun, uygulamalarınızı güncelleyin ve geçmiş kullanımı inceleyin. Sadece koddan silmek yeterli değildir, çünkü eski sürümlerde görünür kalabilir.
API anahtarı ile token arasındaki fark nedir?
API anahtarı genellikle uzun ömürlü olup uygulamayı tanımlar. Token ise genellikle kısa ömürlüdür ve belirli bir kullanıcı veya oturum adına verilen sınırlı erişimi temsil eder.
İlgili terimler
- Ayrıcalıklı erişim yönetimi (PAM)Yönetici ve root gibi yüksek yetkili hesapların kontrol altında kullanılmasını, kaydedilmesini ve sınırlandırılmasını sağlayan yaklaşım.
- İki adımlı doğrulama (2FA)Girişte parolaya ek olarak ikinci bir kanıt istenmesi.
- JWT (JSON Web Token)Kimlik bilgisini imzalı bir belirteç olarak taşıyan biçim.
- KerberosParolayı ağdan geçirmeden, bilet (ticket) tabanlı ve karşılıklı doğrulama yapan ağ kimlik doğrulama protokolü.
- Kimlik doğrulama (authentication)Bir kullanıcının ya da sistemin iddia ettiği kişi olduğunun doğrulanması.
- LDAPKullanıcı, grup ve cihaz gibi dizin bilgilerini sorgulamak ve merkezi kimlik doğrulama yapmak için kullanılan dizin erişim protokolü.