Açar Nəticələri
API açarı, bir tətbiq proqramlaşdırma interfeysinə (API) tələblər göndərərkən bir tətbiqi və ya istifadəçini tanıyan və təsdiqləyən unikal koddur.
API açarları adətən simmetrik və asimmetrik şifrələmə ilə birlikdə işləyir ki, bu da kriptografik imzalar vasitəsilə tələb inteqritasiyasını təsdiqləyir.
Təhlükəsizlik üçün ən yaxşı təcrübələr IP ağ siyahısı, minimum icazalar, mütəmadi açar dövriyyəsi və sirr menecerləri və ya şifrələnmiş xəzinələr vasitəsilə təhlükəsiz saxlamağı əhatə edir.
API açarları, sındırılmış bir açar həssas məlumatlara və ya maliyyə əməliyyatlarına giriş imkanı verə biləcəyindən hücumçular üçün ümumi hədəflərdir.
Əgər bir API açarı heç vaxt ifşa olunubsa və ya sındırılıbsa, onu dərhal ləğv edin və hadisəni araşdırmadan əvvəl yeni bir açar yaradın.
Giriş
API-lar (tətbiq proqramlaşdırma interfeysləri) gündəlik qarşılıqlı əlaqə etdiyiniz proqramların çoxunu idarə edir. Onlar müxtəlif tətbiqlərin məlumat mübadiləsi etməsinə və bir-birinin adından hərəkət etməsinə imkan verir. API açarı, bu xidmətlərə giriş kontrol edən akrediti, istifadəçi adı və şifrə kombinasyonuna bənzəyir. API açarlarının necə işlədiyini və necə təhlükəsiz saxlanılacağını anlamaq, kriptovalyuta sahəsində ticarət alətləri, portfel izləyiciləri və ya avtomatlaşdırılmış sistemlərdən istifadə edən hər kəs üçün əsas təhlükəsizlik prinsiplərinin bir hissəsidir.
Bu məqalə API açarlarının nə olduğunu, onların necə təsdiq etdiyini və icazə verdiyini, nəzərə alınmalı olan təhlükəsizlik risklərini və açarlarınızı təhlükəsiz saxlamağın ən yaxşı təcrübələrini izah edir.
API Açarı Nədir?
API açarı, bir API provayderi tərəfindən hər bir tətbiq və ya istifadəçini tanımaq və xidmətə giriş kontrol etmək üçün yaradılan unikal kod (və ya kodlar dəsti)dir. Bir platformada API açarı yaratdığınızda, göndərdiyiniz hər bir tələbə uyğun olmalı olan akrediti alırsınız ki, bu da provayderin kiminsə çağırış etdiyini və nələri icazə verdiyini təsdiqləməyə imkan verir.
API açarları iki əsas funksiyanı yerinə yetirir:
Təsdiqləmə: Tələbi edən tətbiqin və ya istifadəçinin kimliyini təsdiqləyir.
İcazə: Çağıranın hansı resurslara və ya əməliyyatlara giriş icazəsi olduğunu müəyyən edir.
Məsələn, əgər portfel izləmə tətbiqi mübadilə hesab balanslarınızı oxumaq üçün ehtiyacı varsa, siz mübadilə üzərində sadəcə oxumaq üçün API açarı yaradacaqsınız və onu həmin tətbiqə təqdim edəcəksiniz. Hər dəfə tətbiq məlumat tələb etdikdə, tələblə birlikdə açarı göndərir ki, mübadilə çağıranın kimliyini təsdiq edə bilsin və onun fondları görmək (amma ticarət və ya çıxarış etməmək) icazəsinə malik olduğunu təsdiqləyə bilsin.
"API açarı" termini bəzən tək bir stringə, bəzən isə bir cütə istinad edir: bir publik açar (tələblərlə göndərilən) və bir gizli açar (kriptografik imzaları yaratmaq üçün istifadə olunan). Müxtəlif platformalar bunu fərqli şəkildə idarə edir, ancaq əsas prinsip eynidir: kimin nə edə biləcəyini nəzarət edir.
Kriptografik İmzalar
Bir çox API, yalnız açar stringini göndərməkdən daha çoxunu tələb edir. Onlar həmçinin, tələbin ötürülmə zamanı dəyişdirilmədiyini sübut edən bir kriptografik imza tələb edir. Göndərən, tələb məlumatları üzərində imza yaratmaq üçün gizli açarı istifadə edir və API provayderi bu imzanı təsdiq edir ki, tələb işlənməzdən əvvəl.
Bu əlavə qat, hücumçuların bir tələbi ələ keçirmək və onu dəyişdirmək (məsələn, ticarət məbləğini və ya çıxarış adresini dəyişdirmək) cəhdlərini aşkarlamadan qarşısını alır.
Simmetrik açarlar
Simmetrik imzalama, imzaların yaradılması və təsdiqlənməsi üçün birgə gizli açar istifadə edir. API provayderi və istifadəçi eyni gizli açara malikdir. Ən yaygın tətbiqi HMAC (Hash-based Message Authentication Code) olur, bu da sürətlidir, hesablama baxımından yüngüldür və yüksək tezlikli ticarət API çağırışları üçün yaxşı uyğun gəlir.
Ticaret: Hər iki tərəf eyni gizli açarı paylaşdığından, əgər hər hansı bir tərəf sındırılıbsa, açar ifşa olunacaq.
Asimmetrik açarlar
Asimmetrik imzalama bir açar cütü istifadə edir: bir privat açar (istifadəçi tərəfindən gizli saxlanılır) və bir publik açar (API provayderi ilə paylaşılır). İstifadəçi tələbləri privat açar ilə imzalayır, provayder isə imzaları publik açar ilə təsdiqləyir. Yaygın tətbiqlər arasında RSA imzaları və Ed25519 var.
Əsas üstünlüyü odur ki, privaten açar istifadəçinin nəzarətindən çıxmır. API provayderinin sistemləri təhlükəyə düşsə belə, hücumçu sizin adınıza imzalar yarada bilmir, çünki yalnızca publik açar var.
API Açarlarının Təhlükəsizlik Riskləri
API açarları hücumçular üçün yüksək dəyərli hədəflərdir. Təhvil verilmiş bir açar ticarət və ya çıxarış icazələri ilə dərhal maliyyə itkisinə səbəb ola bilər. 2024 və 2025-ci illərdə yaygın hücum vektorları bunlardır:
Kod depozitlərinin açılması: Avtomatlaşdırılmış botlar publik depozitləri (GitHub, GitLab) avtomatik olaraq skan edərək təsadüfən öhdəlik verilmiş API açarlarını axtarır. Tapıldıqda, açarlar dəqiqələr içində istismar edilə bilər.
Təchizat zənciri hücumları: npm, PyPI və ya digər reyestrlərdəki pis paketlər inkişaf mühitlərindən və ya işləyən tətbiqlərdən API açarlarını gizlincə çıxara bilər.
Phishing və sosial mühəndislik: Hücumçular dəstək qruplarını və ya ticarət alətləri provayderlərini təqlid edərək istifadəçiləri açarlarını açmağa inandırırlar. Phishing cəhdlərini tanımaq bacarığı kritikdir.
Zərərli proqramlar və açar izləyicilər: İstismar olunmuş cihazlar açarları clipboard, mühit dəyişənləri və ya konfiqurasiya fayllarında ələ keçirə bilər.
Arada adam hücumları: HTTPS və düzgün sertifikat təsdiqlənməsi olmadan, API kimlikləri ötürülmə zamanı ələ keçirilə bilər.
API açarının oğurlanmasının nəticələri ciddi ola bilər. Şifrələrdən fərqli olaraq, bir çox API açarları avtomatik olaraq sona erməz və ləğv edilmədiyi müddətdə sonsuz istifadə oluna bilər. Ümumi kripto fırıldaqçılarını və sosial mühəndislik taktikasını anlamaq, kimlikləri yanlışlıqla ifşa etmə riskini azaltmağa kömək edir.
API Açarlarından İstifadə Edərkən Ən Yaxşı Təcrübələr
Aşağıdakı təcrübələr API açarlarının sındırılma riskini əhəmiyyətli dərəcədə azalda bilər:
Minimum icazaları tətbiq edin
API açarı yaradarkən, tətbiqin əslində ehtiyacı olan icazaları aktivləşdirin. Portfel izləyicisi yalnız oxumaq üçün açar istifadə etməlidir. Ticarət botu ticarət girişinə malik olmalıdır, amma heç vaxt çıxarış hüququ olmamalıdır. Açarları funksiyaya görə ayırmaq, hər hansı bir açar sındırılarsa ziyanı məhdudlaşdırır.
IP ağ siyahısını aktivləşdirin
Hər bir API açarını müəyyən IP adreslərinə və ya aralıklara məhdudlaşdırın. Hətta açar oğurlanarsa, icazəsiz şəbəkədən istifadə oluna bilməz. Ən böyük mübadilələrin əksəriyyəti standart təhlükəsizlik xüsusiyyəti kimi IP icazələrini dəstəkləyir.
Açarları mütəmadi olaraq dövriyyə edin
Açar dövriyyəsini rutin baxım kimi qəbul edin. Yeni bir açar yaradın, tətbiqinizi yeniləyin, işədiyini təsdiqləyin, sonra köhnə açarı silin. 60-dan 90 günə qədər bir dövriyyə dövrü ümumi bir standartdır; hər hansı bir şübhəli sındırmadan dərhal sonra dövriyyəyə başlayın.
Açarları təhlükəsiz saxlayın
Heç vaxt API açarlarını mənbə kodunda, versiya idarəçiliyinə bağlı konfiqurasiya fayllarında və ya paylaşılan sənədlərdə düz mətndə saxlamayın. İstehsal mühitləri üçün sirr meneceri (buludda yerləşdirilmiş və ya özünüz host edə biləcəyiniz bir xəzinə) istifadə edin, ya da şəxsi istifadə üçün şifrələnmiş parol meneceri.
Alt hesablar və balans limitləri istifadə edin
Avtomatlaşdırılmış sistemləri əsas hesabınızdan daha məhdud balanslara malik alt hesablar üzərində çalışdırın. Bu, bot və ya onun açarı sındırılarsa partlayış radiusunu məhdudlaşdırır.
İki faktorlu identifikasiya aktivləşdirin
Mübadilə hesabını iki faktorlu identifikasiya (2FA) ilə qoruyun ki, hətta hücumçu API girişinə sahib olsa belə, hesab ayarlarını dəyişə, yeni açarlar yarada və ya ikinci təsdiq addımı olmadan çıxarış adresləri əlavə edə bilməsin.
Hadisələri izləyin və cavab verin
Yeni API açarının yaradılması, icazələrin dəyişdirilməsi və qeyri-adi fəaliyyət üçün bildirişləri aktivləşdirin. Bir açar sındırılarsa: (1) onu dərhal mübadilə üzərində ləğv edin, (2) mümkünsə çıxarışları dondurun, (3) ifşanın mənbəyini araşdırın, (4) yalnız kök səbəb başa düşüldükdən sonra yeni açarlar yaradın.
Tez-tez verilən suallar
API açarı ilə gizli açar arasındakı fərq nədir?
API açarı, tələbi edən şəxsi tanıyır (kullanıcı adı kimi). Gizli açar kriptografik imzaların yaradılmasında istifadə olunur ki, bu da tələbin qanuni və dəyişdirilmədiyini sübut edir (şifrələr və ya imzalama akrediti kimi). Birlikdə, bu, həm tanıma, həm də təsdiqləmə təmin edir.
Sadəcə oxumaq üçün API açarı ilə birisi fondlarımı oğura bilərmi?
Sadəcə oxumaq üçün açar ticarət və ya çıxarış edə bilmir. Ancaq sizin tam əməliyyat tarixçəniz, balanslarınız və açıq pozisiyalarınız kimi həssas məlumatları ifşa edə bilər. Bu məlumatlar hədəfli sosial mühəndislik hücumlarında istifadə oluna bilər, buna görə də sadəcə oxuma açarları hələ də qorunmalı və dövriyyəyə alınmalıdır.
API açarını nə qədər tez-tez dövriyyəyə almalıyım?
Hər 60-90 gündə bir, aktiv istifadə olunan açarlar üçün uyğun bir standartdır. Bir dəfəlik məlumat idxalı üçün yaradılan açarlar (məsələn, vergi hesabatı) istifadə edildikdən dərhal sonra silinməlidir. Hər zaman təhlükəsizlik hadisəsi və ya şübhəli ifşadan sonra dərhal dövriyyəyə alın.
API açarım sındırılarsa nə etməliyəm?
Həmin açarı dərhal mübadilə üzərində ləğv edin ki, daha da icazəsiz girişin qarşısını alasınız. İcazəsiz ticarət və ya çıxarışlar üçün son hesab fəaliyyətini nəzərdən keçirin. Mümkün olduqda çıxarışları dondurun. Yeni açarlar yaratmadan əvvəl ifşanın necə baş verdiyini (kod öhdəliyi, phishing, cihazın istismarı) araşdırın.
Üçüncü tərəf alətlərinə API açarlarını vermək təhlükəsizdirmi?
Bu, alət və icazalardan asılıdır. Yalnız minimum icazaları verin (adətən analitik və vergi alətləri üçün oxumaq üçün). Təminatçıların şifrələmə və təhlükəsiz saxlama istifadə etdiyini təsdiqləyin. Hər üçüncü tərəf xidməti üçün ayrı bir açar yaradın ki, onları ayrı-ayrılıqda ləğv edə biləsiniz. İstifadə etmədiyiniz xidmətlər üçün açarları silin.
Son Düşüncələr
API açarları rəqəmsal iqtisadiyyatda avtomatlaşdırılmış girişin qapıçılarıdır. Onlar giriş akrediti kimi eyni əsas məqsədi daşıyır, ancaq tez-tez hesablar və məlumatlara daha geniş və daha güclü giriş imkanı verir. Onlara şifrələr kimi eyni diqqət göstərmək, minimum icazə prinsiplərini tətbiq etmək, IP məhdudiyyətlərini aktivləşdirmək və mütəmadi dövriyyəyə almaq riskin azaldılması üçün ən effektiv addımlardır.
Daha çox oxumaq üçün
API Açarları və Təhlükəsizlik Növləri Nədir
Rate Limit-lərlə Qadağan Olunmamaq Üçün Necə İstifadə Etmək
Binance Hesabınızın Təhlükəsizliyini Artırmaq Üçün 5 Yol
Kriptografiyanın Tarixi
Binance Spot REST API-dən Necə İstifadə Etmək
Xəbərdarlıq: Bu məzmun sizə "olduğu kimi" təqdim edilir, yalnız ümumi məlumat və təhsil məqsədilə, hər hansı bir növ nümayəndəlik və ya zəmanət olmadan. Bu, maliyyə, hüquqi və ya digər peşəkar məsləhət kimi başa düşülməməlidir, eyni zamanda hər hansı bir spesifik məhsul və ya xidmətin alınmasını tövsiyə etməyi məqsəd qoymur. Siz özünüz müvafiq peşəkar məsləhətçilərdən məsləhət almalısınız. Məzmun üçüncü tərəf tərəfindən təqdim olunubsa, xahiş olunur ki, ifadə olunan fikirlər üçüncü tərəf iştirakçısına aiddir və mütləq Binance Academy-nın fikirlərini əks etdirmir. Rəqəmsal aktiv qiymətləri dəyişkəndir. Sizin investisiyanızın dəyəri düşə bilər və ya arta bilər və yatırılan məbləği geri ala bilməzsiniz. Siz investisiya qərarlarınızdan yalnız siz məsuliyyət daşıyırsınız və Binance Academy hər hansı bir itkiyə görə məsuliyyət daşımır. Daha ətraflı məlumat üçün istifadə şərtlərimizi, risk xəbərdarlığını və Binance Academy şərtlərini nəzərdən keçirin.