Должен ли я держать в секрете ключ API браузерных приложений Blogger?

Ссылаясь на выделенный ключ API на изображении ниже, я задаюсь вопросом, следует ли держать в секрете ключ API Blogger, используемый для приложений браузера.

введите здесь описание изображения

Причина, по которой я спрашиваю, заключается в том, что я планирую написать сообщение в блоге об использовании API Google Blogger в JavaScript и хотел бы предоставить рабочий пример с использованием API (вместе с ключом API в примере кода) публично на jsFiddle.

Вот что я нашел в документации (выделены важные раздел):

[...] Когда вашему приложению необходимо вызвать API, включенный в этом проекте, приложение передает этот ключ во все запросы API в качестве параметра key=API_key. Использование этого ключа не требует каких-либо действий или согласия пользователя, не предоставляет доступ к какой-либо информации об учетной записи и не используется для авторизации.

Итак, прав ли я, предполагая, что могу публично поделиться этим ключом API, не рискуя, что кто-то совершит с ним злонамеренные действия?


api-key blogger
person Andreas Grech    schedule 22.04.2013    source источник
comment
Итак, ответ @LeonLucardie в основном НЕТ. И тогда ключ API отправляется открыто в каждом запросе, поэтому злоумышленник может получить ключ, перехватив запросы?   -  person stys    schedule 02.05.2013
comment
Да, дело в том, насколько я понимаю, этот ключ API следует использовать при создании приложения для браузера, то есть его нельзя скрыть, поскольку весь код будет в браузере клиента. В общем, я не думаю, что это специально предназначено для того, чтобы держать это в секрете.   -  person Andreas Grech    schedule 02.05.2013
comment
Я согласен. Любые идеи, как защитить приложение от атаки ежедневной квоты запросов?   -  person stys    schedule 02.05.2013

Ответы (1)


arrow_upward
2
arrow_downward

Хотя с помощью одного ключа невозможно получить информацию об учетной записи, аутентификацию и другие данные, он используется для связывания вызовов API с проектом Google.

Если ключ общедоступен, люди могут делать с ним запросы, а API Google связывает запросы с вашим проектом Google. Это может дать злоумышленникам возможность рассылать спам-запросы с помощью этого ключа, что может привести к тому, что ваша учетная запись достигнет дневной квоты запросов.

В конце концов, решать вам, но не рекомендуется делать ваш ключ API общедоступным.

person Leon Lucardie    schedule 22.04.2013