API Anahtarı Oluşturucu

Tarayıcının kriptografik güvenli rastgele kaynağı olan crypto.getRandomValues'tan gelirler; gerçek oturum token'ları da aynı kaynakla üretilir. Math.random birkaç çıktıdan tahmin edilebilir ve burada hiç kullanılmaz.

256 bit, yani 32 bayt standart cevaptır ve tahmin edilmesine gerçekçi bir ihtimal bırakmaz. 128 bitin altı gözden geçirilmeye değer. Karakter uzunluğu kodlamaya bağlıdır: 32 bayt hex'te 64 karakterdir ama Base64URL'de sadece 43.

İki sebeple. Sızan bir dizenin ne olduğunu bir bakışta anlarsınız ve gizli anahtar tarayıcıları anahtarlarınızı herkese açık depolarda tanıyabilir. GitHub taraması tam olarak ghp_ tanınabilir bir desen olduğu için çalışıyor.

Anahtarın kendisini değil SHA-256 özetini saklayın. İstek geldiğinde gelen anahtarı özetleyip özete bakın. Kullanıcılar listedeki anahtarlarını ayırt edebilsin diye ön eki ve son dört karakteri düz metin tutabilirsiniz.

Üretimin kendisi sağlamdır ve sekmenizden hiçbir şey çıkmaz. Düşünmeniz gereken, anahtarı ürettiğiniz ekran ve sonra nereye yapıştırdığınız. Otomatik sistemlerde anahtarları onları veren sunucuda üretin.

Sadece harf ve rakam içerir, yani kaçırılacak karakter yoktur ve kabuk, URL ya da CSV dosyası bozamaz. Anahtar öngörülemeyen yerlerden kopyalanıp taşınacaksa iyi bir varsayılandır.

Dördüncü sürüm bir UUID 122 rastgele bit taşır, entropi olarak yeterli. Sorun şu ki UUID'ler alışkanlıkla gizli değil kimlik gibi görülür, o yüzden insanlar loglara rahatça yazar. Anahtar olarak kullanacaksanız ekibinizin bunun bir sır olduğunu bilmesi gerekir.

İhtiyaç duymadan önce bir değiştirme yolunuz olsun. Aynı anda iki anahtarı geçerli sayın ki müşteri kesintisiz geçebilsin, sızıntı şüphesinde ise hemen iptal edin. Sabit bir takvimden çok, hızlı değiştirebiliyor olmak önemli.