View a markdown version of this page

Melhores práticas para chaves de API - Amazon Location Service
Gerenciar chaves de APIRestringir o uso da chave de API

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Melhores práticas para chaves de API

Siga essas melhores práticas para proteger suas chaves de API e gerenciar seu ciclo de vida.

Gerenciar chaves de API

As chaves de API incluem um valor de texto não criptografado que dá acesso a um ou mais recursos em seu Conta da AWS. Se alguém copiar sua chave de API, poderá acessar esses mesmos recursos e APIs. Para minimizar o impacto potencial, analise as seguintes práticas recomendadas:

  • Limitar a chave da API

    Para evitar a situação acima, é melhor limitar sua chave de API. Quando criar a chave, você pode especificar o domínio, a aplicação Android ou Apple em que a chave de API pode ser usada.

  • Gerencie a vida útil das chaves de API

    Você pode criar chaves de API que funcionem indefinidamente. No entanto, se você quiser criar uma chave de API temporária, fizer rodízio das chaves de API regularmente ou revogar uma chave de API existente, você pode usar a expiração da chave de API.

    • É possível configurar o prazo de validade de uma chave de API ao criá-la ou atualizá-la.

    • Ao atingir o tempo de expiração, a chave de API é desativada automaticamente. As chaves inativas não podem mais ser usadas para fazer solicitações.

    • Você pode alterar uma chave temporária para uma chave permanente removendo o prazo de expiração.

    • Você pode excluir uma chave de API 90 dias após desativá-la.

    • Se tentar desativar uma chave de API que tenha sido usada nos últimos 7 dias, você receberá uma solicitação para confirmar que deseja fazer a alteração.

    • Se você estiver usando a API Amazon Location Service ou a AWS CLI, defina o ForceUpdate parâmetro comotrue, caso contrário, você receberá um erro.

Restringir o uso da chave de API por origem da solicitação

Você pode configurar chaves de API com restrições de cliente que limitam o acesso a domínios ou aplicações móveis específicos. Quando se restringir por domínio, as solicitações serão autorizadas somente se o cabeçalho do indicador HTTP corresponder ao valor fornecido. Quando se restringir por aplicativo Android ou Apple, as solicitações serão autorizadas somente se os campos do cabeçalho do indicador HTTP da aplicação corresponderem aos valores fornecidos por você.

Para obter mais informações, consulte ApiKeyRestrictionsa Amazon Location Service API Reference.

Identificadores de aplicações Android:

  • X-Android-Package:

    Um identificador exclusivo para aplicações Android, definido no arquivo build.gradle da aplicação, geralmente seguindo um formato de domínio inverso.

    Exemplo:

    com.mydomain.appname

  • X-Android-Cert:

    O SHA-1 hash do certificado de assinatura usado para assinar o APK do Android.

    Exemplo:

    BB:0D:AC:74:D3:21:E1:43:67:71:9B:62:91:AF:A1:66:6E:44:5D:75

Identificadores de aplicações da Apple:

  • X-Apple-Bundle-Id :

    Um identificador exclusivo para aplicações Apple (iOS, macOS, etc.), definido no arquivo Info.plist da aplicação, geralmente seguindo um formato de domínio reverso.

    Exemplo:

    com.mydomain.appname