Devemos mascarar as chaves da API?

1. Devo esconder minha chave da API?
2. Como faço para proteger minhas chaves da API?
3. E se uma chave da API for exposta?
4. Alguém pode roubar minha chave da API?

Devo esconder minha chave da API?

Eu preciso esconder minhas chaves da API? As chaves secretas da API nunca devem ser colocadas em um código do lado do cliente ou devem ser ocultas. No entanto, as chaves da API somente leitura não representam nenhum risco se você as colar no seu código JavaScript que se comprometerá no seu navegador.

Como faço para proteger minhas chaves da API?

Se você armazenar chaves de API ou qualquer outra informação privada em arquivos, mantenha os arquivos fora da árvore de origem do seu aplicativo para manter suas chaves fora do seu sistema de controle de código -fonte. Isso é particularmente importante se você usar um sistema público de gerenciamento de código -fonte, como o github.

E se uma chave da API for exposta?

As teclas de API expostas podem ser usadas para explorar vulnerabilidades ou bugs na codificação da própria API e através de abuso de API (onde a API é acessada ou usada de uma maneira que não foi intencional). Os ataques de exemplo incluem aquisição de contas, criação de conta automatizada, raspagem de dados ou ataques de DDoS.

Alguém pode roubar minha chave da API?

Pior ainda, os criminosos podem facilmente contornar as configurações "somente comercial" nas chaves da API e roubar dinheiro das contas dos comerciantes, mesmo sem obter suas credenciais de conta ou direitos de retirada.