API açarları nədir? API təhlükəsizliyini necə təmin etmək olar?

Kriptovalyuta birjasında hesabınızdan başqa bir tətbiqə məlumat ötürmək, ticarət botundan istifadə etmək və ya hesabınızdakı əməliyyatları avtomatlaşdırmaq istədikdə API termini ilə qarşılaşa bilərsiniz.

API ilk baxışda texniki və mürəkkəb görünə bilər. Əslində isə əsas məntiq kifayət qədər sadədir: API müxtəlif proqramların bir-biri ilə əlaqə saxlamasına imkan verir.

Məsələn, bir ticarət botu birjadakı hesabınıza qoşularaq bazar məlumatlarını oxuya və icazəniz varsa, sizin adınızdan müəyyən ticarət əməliyyatlarını həyata keçirə bilər.

Bunun üçün istifadə olunan əsas vasitələrdən biri API açarıdır (API key).

Amma burada vacib bir məsələ var: API açarı hesabınıza müəyyən giriş imkanları verə bildiyi üçün onun təhlükəsiz saxlanması çox önəmlidir.

API nədir?

API ingiliscə Application Programming Interface, yəni tətbiqlərin proqramlaşdırma interfeysi deməkdir.

Sadə şəkildə desək, API iki fərqli proqramın bir-biri ilə müəyyən qaydalar əsasında məlumat mübadiləsi aparmasına imkan verən vasitədir. Məsələn, bir tətbiq kriptovalyuta birjasından Bitcoin-in cari qiymətini avtomatik əldə etmək istəyirsə, bunun üçün birjanın API-sindən istifadə edə bilər. Bu zaman istifadəçinin hər dəfə sayta daxil olub qiyməti əl ilə yoxlamasına ehtiyac qalmır. API müxtəlif xidmətlər arasında “körpü” rolunu oynaya bilər.

API açarı nədir?

API açarı (API key) bir tətbiqin API vasitəsilə hansı istifadəçi və ya hesabla əlaqə saxladığını müəyyənləşdirmək üçün istifadə olunan xüsusi identifikatordur.

Kriptovalyuta birjalarında API açarı hesabınıza müəyyən səviyyədə giriş vermək üçün istifadə oluna bilər.

Məsələn, yaratdığınız API açarı yalnız bazar məlumatlarını oxumaq üçün istifadə oluna bilər. Başqa API açarı isə ticarət əməliyyatlarına icazə verə bilər.

Bu icazələr platformadan platformaya dəyişə bilər.

Əsas məntiq budur: API açarı tətbiqə hesabınızla müəyyən əməliyyatları yerinə yetirmək üçün icazə verə bilər.

Bu səbəbdən API açarını adi istifadəçi adı kimi düşünmək düzgün deyil. Onun hansı icazələrə malik olması xüsusilə vacibdir.

API açarı və Gizli açar (Secret key) arasında fərq nədir?

API ilə işləyərkən API açarı ilə yanaşı Gizli açar və ya API gizli açarı (API Secret) kimi terminlərlə də qarşılaşa bilərsiniz.

Onların funksiyası eyni deyil.

API açarı tətbiqin və ya sorğunun hansı API istifadəçisi ilə əlaqəli olduğunu müəyyənləşdirməyə kömək edir.

Gizli açar isə müəyyən API sorğularının autentifikasiyası və imzalanması üçün istifadə olunan məxfi məlumatdır.

Ən vacib qayda:

API açarınızı və xüsusilə Gizli açarınızı heç kimlə paylaşmayın.

API açarı ilə nələr etmək olar?

Bu, yaratdığınız API açarına hansı icazələri verdiyinizdən asılıdır.

Məsələn, API açarı aşağıdakı imkanlardan birinə və ya bir neçəsinə sahib ola bilər:

• hesab məlumatlarını oxumaq;
• bazar məlumatlarını əldə etmək;
• sifarişlərin vəziyyətini yoxlamaq;
• ticarət sifarişləri yaratmaq və ya ləğv etmək;
• digər müəyyən edilmiş API funksiyalarından istifadə etmək.

Bütün API açarları eyni səviyyədə giriş vermir.

Məhz buna görə API yaradarkən yalnız ehtiyacınız olan icazələri aktivləşdirmək vacibdir.

API açarında icazələr nədir?

Tutaq ki, siz sadəcə portfel izləmə tətbiqindən istifadə edirsiniz.

Bu tətbiqin sizin adınızdan alqı-satqı etməsinə ehtiyac yoxdur. O, sadəcə balansınızı və əməliyyat tarixçənizi oxumalıdır.

Belə vəziyyətdə ticarət icazəsi vermək əlavə risk yarada bilər.

Əgər tətbiqin yalnız məlumatları oxuması lazımdırsa, mümkün olduqda yalnız oxuma icazəsi (read-only) olan API açarından istifadə etmək daha məhdud giriş yanaşmasıdır.

Əgər ticarət botuna ehtiyacınız varsa, yalnız botun işləməsi üçün lazım olan ticarət icazələrini aktivləşdirmək olar.

Vəsait çıxarma icazəsi niyə xüsusilə həssasdır?

API açarının vəsait çıxarma imkanına sahib olması xüsusilə diqqətlə nəzərdən keçirilməlidir.

Əgər üçüncü tərəf tətbiqə və ya botun API açarına vəsait çıxarma icazəsi verirsinizsə, həmin açarın ələ keçirilməsi daha ciddi maliyyə riskləri yarada bilər.

Ona görə tətbiqin işləməsi üçün withdrawal icazəsi tələb olunmursa, belə icazəni aktivləşdirməmək daha təhlükəsiz yanaşmadır.

Sadə prinsip:

Tətbiqin ehtiyacı olmayan icazəni verməyin.

IP ağ siyahısı (IP Whitelist) nədir?

Bəzi platformalarda API açarını yalnız əvvəlcədən müəyyən etdiyiniz IP ünvanlarından istifadə edilə biləcək şəkildə məhdudlaşdırmaq mümkündür.

Bu funksiyaya IP ağ siyahısı və ya IP məhdudiyyəti deyilir.

Məsələn, API ilə işləyən botunuz müəyyən serverdə yerləşirsə, API açarının yalnız həmin serverin IP ünvanından gələn sorğular üçün istifadə olunmasına icazə verilə bilər.

Bu, API açarı başqa bir şəxsin əlinə keçərsə, onun başqa IP ünvanından istifadə etməsini məhdudlaşdırmağa kömək edə bilər.

Lakin IP ağ siyahısı bütün təhlükəsizlik problemlərini həll etmir. API açarının özü yenə də qorunmalıdır.

API açarını harada saxlamaq lazımdır?

API açarını və Gizli açarı adi mətn kimi açıq şəkildə saxlamaq yaxşı fikir deyil.

Xüsusilə:

• sosial şəbəkələrdə paylaşmayın;
• mesajlaşma tətbiqlərində göndərməyin;
• ictimai GitHub repozitoriyasına yerləşdirməyin;
• ekran görüntüsündə göstərməyin;
• kodun içində açıq şəkildə saxlamayın.

Proqramlaşdırmada API məlumatlarının mühit dəyişənlərində və ya uyğun məxfi məlumat idarəetmə sistemlərində saxlanılması kimi yanaşmalardan istifadə olunur.

Məqsəd sadədir: məxfi məlumatın tətbiqin kodundan və ictimai fayllardan ayrı saxlanılması.

API açarı sızarsa, nə etmək lazımdır?

API açarınızın və ya Secret Key-nin başqa şəxsin əlinə keçdiyini düşünürsünüzsə, gözləməyin.

İlk addımlardan biri həmin API açarını ləğv etmək (revoke) və ya silməkdir.

Sonra:

1. API açarının icazələrini yoxlayın.
2. Şübhəli əməliyyatların olub-olmadığını yoxlayın.
3. Lazım gəlsə, yeni API açarı yaradın.
4. Hesabınızın təhlükəsizlik parametrlərini yoxlayın.
5. Şübhəli fəaliyyət varsa, platformanın rəsmi dəstək xidmətinə müraciət edin.

2FA API açarını əvəz edirmi?

Xeyr.

İki mərhələli doğrulama (2FA) və API təhlükəsizliyi eyni şey deyil.

2FA hesabınıza giriş prosesini qorumaq üçün əlavə doğrulama qatıdır.

API açarı isə tətbiqin API vasitəsilə hesabınıza giriş imkanları ilə əlaqəlidir.

Buna görə hesabınızda 2FA-nın aktiv olması API açarını təhlükəsiz saxlamaq ehtiyacını aradan qaldırmır.

API açarlarından istifadə edərkən 7 təhlükəsizlik qaydası

API ilə işləyirsinizsə, aşağıdakı qaydaları yadda saxlamaq faydalıdır:

1. Yalnız lazım olan icazələri verin.
2. Nağdlaşdırma icazəsini ehtiyac olmadıqda aktivləşdirməyin.
3. Gizli açarı heç kimlə paylaşmayın.
4. Mümkündürsə IP ağ siyahısından istifadə edin.
5. API məlumatlarını kod və ictimai repozitoriyalarda açıq saxlamayın.
6. İstifadə etmədiyiniz API açarlarını ləğv edin.
7. API ilə əlaqəli şübhəli fəaliyyət gördükdə açarı dərhal ləğv edin.

API açarı haqqında əsas məqamlar

API texniki termin kimi səslənsə də, əsas məntiqi yadda saxlamaq asandır:

• API proqramların bir-biri ilə əlaqə saxlamasına imkan verir.
• API açarı tətbiqin API vasitəsilə müəyyən hesabla əlaqələndirilməsinə və icazə verilmiş funksiyalardan istifadə etməsinə imkan yaradır.
• Gizli açar məxfi saxlanmalı olan təhlükəsizlik məlumatıdır.
• API açarlarının icazələri məhdudlaşdırıla bilər.
• Tətbiqin ehtiyacı olmayan icazələri vermək lazım deyil.
• Nağdlaşdırma icazəsi xüsusilə həssasdır.
• IP ağ siyahısı əlavə təhlükəsizlik qatı yarada bilər.
• API açarı sızarsa, onu mümkün qədər tez ləğv etmək lazımdır.

Nəticə

API açarları kriptovalyuta ticarətinin avtomatlaşdırılması və müxtəlif tətbiqlərin birja hesabları ilə əlaqələndirilməsi üçün faydalı vasitədir. Lakin rahatlıqla yanaşı, əlavə təhlükəsizlik məsuliyyəti də gətirir.

Əsas prinsip çox sadədir: API açarına nə qədər çox icazə versəniz, onun təhlükəsizliyi bir o qədər vacib olur.

Ticarət botuna yalnız ticarət icazəsi lazımdırsa, ona withdrawal icazəsi verməyə ehtiyac yoxdur. Portfel tətbiqi sadəcə məlumat oxuyursa, onun ticarət etməsinə icazə vermək də lazım deyil.

API ilə işləyərkən “hamısına icazə verim, sonra baxaram” yanaşması əvəzinə minimum lazımi icazə prinsipindən istifadə etmək daha məqsədəuyğundur.