¿Cómo debo validar una clave de API para un servicio web implementado a través de iframe?

Navega tus respuestas
0

Estoy trabajando en un pequeño servicio web que proporciona alguna funcionalidad que se puede incrustar en una página web con un iframe. Como este es un servicio basado en suscripción, me gustaría poder administrar quién puede y quién no puede acceder a la funcionalidad en cuestión a través de las claves API.

Entiendo que un enfoque popular es incrustar una clave de API en el recurso, por ejemplo:

<iframe src='http://service.com/API_KEY_GOES_HERE/' height='750' width='640'>

Cuando el servidor recibe una solicitud del cliente, realiza una búsqueda en el remitente para asegurarse de que el sitio que solicita el recurso tiene permiso para acceder a él.

Mi pregunta es la siguiente: ¿no se pueden falsificar las referencias y esto no haría trivial eludir este sistema? ¿Qué me estoy perdiendo?

    
pregunta blz 23.06.2014 - 02:11
fuente

1 respuesta

1

Los remitentes pueden ser falsificados, pero solo por el usuario-agente. Otro sitio web que incorpore un iframe con la clave API no podría controlar la referencia de sus usuarios. Por lo tanto, si su objetivo es evitar que los sitios puedan clonar las claves de la API, la verificación del remitente generalmente funcionará.

Tenga en cuenta que el remitente no se envía si va a https - > http, y algunos usuarios pueden tener navegadores configurados para no enviar el remitente.

    
respondido por el David 23.06.2014 - 02:47
fuente

Lea otras preguntas en las etiquetas

¿Qué herramienta gratuita para revisar el código fuente de Java? [cerrado] Desde una perspectiva de implementación y OPS, ¿deberían una clave de cifrado y firma S / MIME tener fechas de vencimiento diferentes?