Réponses aux questions courantes sur la sécurisation des API dans API Gateway.
Problèmes de sécurité des API
Sécurité des API
Comment garantir la sécurité de l’AppKey pour les terminaux mobiles ?
Une AppKey identifie l’appelant d’une API. Il s’agit d’une donnée d’identification sensible. Stockez-la en toute sécurité, ne l’intégrez jamais dans le code côté client et évitez de l’exposer dans les journaux. Si une AppKey est compromise, faites-la tourner immédiatement depuis la console API Gateway.
Une AppKey seule constitue une identité, mais pas un mécanisme d’autorisation robuste. Pour renforcer la sécurité, combinez l’authentification par AppKey avec la signature des requêtes à l’aide des plug-ins de signature backend.
Comment sécuriser les appels d’API Gateway vers le serveur backend ?
Deux options s’offrent à vous. Pour une protection optimale, utilisez-les conjointement.
-
Signature backend : définissez une clé de sécurité sur l’API. API Gateway signe les requêtes sortantes selon une méthode spécifiée, et votre backend vérifie la signature pour confirmer que la requête provient bien de la passerelle.
Pour les détails de configuration, consultez plug-ins de signature backend.
Votre backend doit utiliser la même méthode de signature pour vérifier les requêtes entrantes.
-
HTTPS : chiffrez la connexion entre la passerelle et votre backend.
Avant d’activer HTTPS, obtenez un certificat SSL valide et configurez-le sur votre serveur backend.
Dois-je republier une API après avoir modifié sa clé backend ?
Non. Créez la nouvelle clé et associez-la à l’API dans la console. La modification prend effet sans republication.
Comment remplacer une clé backend sans interrompre les services ?
Cette procédure nécessite au moins deux serveurs backend. Pour faire tourner la clé sans interruption de service :
Mettez à jour votre service backend pour qu’il accepte simultanément l’ancienne et la nouvelle clé.
Mettez à jour la clé backend dans votre instance de passerelle.
Supprimez la prise en charge de l’ancienne clé depuis votre service backend.
Comment ouvrir une API à un utilisateur spécifique ?
Configurez les permissions d’accès pour l’API dans la console API Gateway afin de contrôler quels utilisateurs ou applications peuvent l’appeler.