¿Cómo limita la API de javascript a un dominio?

2

Ok, muchos de ustedes ahora el escenario: inicia sesión en developer.sayLinkedIn.com, crea una aplicación con credenciales y define el dominio en el que esa clave puede "ejecutarse". La pregunta es, desde la perspectiva de un proveedor de API, si es posible: ¿CÓMO inutiliza una clave en dominios distintos a los que le gustan?

Tengo una API disponible para el consumo seguro en escenarios de secuencias de comandos del lado del servidor, y me encantaría ofrecer una forma de consumirla de forma segura en el lado del cliente desde un recurso html público estático, pero ya que es una API de uso pagado y la clave está en en el dominio público desea que su clave funcione solo en los sitios-dominio-ip que usted define.

    
pregunta user2712273 30.11.2013 - 22:45
fuente

1 respuesta

2

Revisaré el encabezado de origen cuando llegue la solicitud y confirmaré que el dominio que realiza la solicitud coincide con el que usted ha asociado con la clave.

Esto significa que necesitarías hacer un seguimiento de la asociación entre los dominios y las claves de los clientes que pagan para que puedas verificar esto.

Tenga en cuenta que el encabezado de origen se puede falsificar si la solicitud se realiza utilizando algo como curl, por lo que si bien sería una buena defensa contra las páginas web que utilizan su API sin permiso, alguien podría evitar su restricción para su propio personal utilizar.

    
respondido por el Abe Miessler 30.11.2013 - 23:08
fuente

Lea otras preguntas en las etiquetas