Asegurar una API privada que sea visible en la Internet pública

Respuesta rápida: no es suficiente para proteger su API. Cada uno de esos pasos tiene puntos débiles que no se ha solucionado al unirlos. La buena criptografía es difícil, e intenta no reinventar la rueda.

Https: evitará que las llamadas exactas se vean en tránsito. Pero no al final del usuario, o a un ataque de "hombre en el medio".

Ocultar un número: busque "seguridad por oscuridad". Tl; Dr no confíe en esto. Siempre.

Pase un token válido durante una hora: se ve abierto a todas las formas de autenticación e intercepción en el planeta. ¿Cómo sabes que el token no está siendo mal utilizado o utilizado por nada excepto por el cliente previsto? Usted no.

1. Más difícil de implementar, más trabajo.

2. Los clientes simplemente pueden ingresar a las herramientas de desarrollo de Chrome y acceder a Red para ver dónde se envía la solicitud.

Esto es lo que hago para asegurar mi api. Construyo con una pila MEAN y utilicé JSON Web Tokens. Yo uso una biblioteca llamada passport.js para autenticar. Así es como protejo:

Digamos que tengo una ruta api como tal:

UserRoutes.post('/message', Middleware.verifyToken, function(req, res) {
      //post message and save to DB
});

Note que usé Middleware.verifyToken arriba en el "medio". Esto se llama desde la clase a continuación

Luego tengo un archivo en otro lugar llamado Middleware.js y dentro de un método:

verifyToken: function() {

//grabs the json web token from the authorization header and verifies its valid. //If it is valid then continue will the route logic

}

Estos son los pasos:

1. Asigne a un usuario un token web Json cuando inicie sesión (almaceno el mío en LocalStorage) (utilicé las bibliotecas: jsonwebtoken, passport-jwt, passport, bcrypt).
2. Implemente una función de middleware que verifique el token. Esto asegurará que el token / usuario sea válido antes de que se ejecute la lógica real de la ruta.

El concepto general es que el usuario debe presentar un token web json válido con cada solicitud, y este token se comprueba antes de que se ejecute la lógica de ruta. Si no es válido o no existe, la ruta no se ejecutará y puede devolver un error a quien lo haya realizado.

Me tomó cerca de un mes o dos para poder implementar completamente este sistema porque me tomó un tiempo aprender y entender passport.js y middleware, pero una vez lo hice fue genial y definitivamente vale la pena el tiempo que toma aprender.

Investigación: Middleware, Json Web Tokens y Passport.js

enlace
enlace

Mi análisis:

  

1. Use HTTPS para todas las solicitudes.
  
2. No le digas a nadie la dirección de la API (sé que probablemente no debería confiar en esto)
  
3. Envíe una clave de acceso y una clave secreta a la API y al   La API devuelve un token que es válido durante 1 hora. (Tal vez menos)
  

1. Debe activar un encabezado HSTS para asegurarse realmente de que está usando HTTPS para todas las solicitudes
2. Seguridad a través de la oscuridad. ¿Por qué no ponerle una contraseña? Nota: asegúrate de guardar la contraseña de forma segura con bcrypt y un salt. Aquí hay una excelente explicación de Tom Scott. Cualquiera puede ver la URL abriendo las herramientas para desarrolladores y visitando peticiones.
3. Posiblemente seguro, dependiendo de cómo lo implementes. No intentes implementar tu propia suite criptográfica. Es una realmente mala idea