En primer lugar: no estoy seguro del título de la pregunta, así que si tiene una idea mejor, no dude en comentarla (:
Me gustaría conocer ejemplos de mejores prácticas en los que los servicios (como Twitter o co) que ofrecen API y quieren que usted como desarrollador use alguna API-Key evita que terceros obtengan esa clave.
Explicaré mis saludos con malos ejemplos:
Por lo que sé, Twitter y FB requieren que uses las claves de API para las solicitudes de API. Eso está bien para las aplicaciones del lado del servidor, pero tan pronto como usted envía su clave desde una aplicación web o una aplicación de escritorio, la clave es visible para otros.
Debido a que tiene que enviar esa clave, no tiene mucho sentido almacenarla de forma segura dentro de su aplicación. Para la solicitud, tiene que ser sencillo.
Una cosa que puedes hacer es alojar tu propio servicio web o contenedor que agrega el lado del servidor de claves y luego envía esa solicitud al servidor de destino.
Pero esto no es posible si Twitter / o cualquier servicio que esté utilizando limita las solicitudes de API por IP o si desea crear estadísticas basadas en IP.
Entonces, para resumir: si estuviera en la posición de crear una API para otros y no quisiera que usen SSL, ¿qué posibilidades tendría para asegurarme de que su clave es segura y no puede fácilmente ser robado?