חתימות HMAC, בקשות הצפנה

חתימות HMAC והצפנה בקשה

אינטגרציית API דורשת לא רק בקרת גישה, אלא גם הבטחה לאותנטיות ויושרה של כל בקשה. לשם כך, אנו תומכים בקוד אימות מסרים מבוסס Hash (קוד אימות מסרים מבוסס Hash), כמו גם בהצפנת גופים ופרמטרים של בקשה, המבטיחים הגנה על נתונים גם כאשר מועברים ברשתות פתוחות.

באמצעות HMAC, כל צד (לקוח ושרת) מאשר כי הבקשה נוצרה על ידי צד מורשה, לא שונתה לאורך הנתיב, ויש לה תוכן מוצפן.

מה מיושם

מנגנון		תכלית ותועלת	‏
	חתימות HMAC	לחתום על כל בקשה עם מפתח פרטי
	בדיקת עקביות	ודא שתוכן לא שונה במהלך ההעלאה
	להצפין את גוף הבקשה	השתמש ב ־ AES או ב ־ RSA כדי להגן על מידע רגיש
חתימת חותמת		שידור חוזר של הגנת התקפה
חתימה	של פרמטרי שאילתה	אימות של מחרוזת שאילתה ומטען באמצעות פונקציית חשיש

איך זה עובד?

1. הלקוח יוצר גוף בקשה ומוסיף חותמת זמן
2. מחושב על ידי HMAC (למשל. SHA256) המבוסס על סוד ותוכן
3. החתימה מתווספת לכותרת (לדוגמה, ”X-חתימה”)
4. השרת מאשר חתימה, חותמת זמן ו ־ IP תקף
5. אם החתימה תואמת, הבקשה מבוצעת, אחרת היא נדחית

יתרונות לשילוב API

הגנה מפני החלפה או עיוות של הבקשה
היכולת לתקשר באופן מאובטח ללא TLS (ברשתות סגורות)
הגדל את האמון בקישור הנתונים
פלטפורמה או שפת עצמאות ספציפית
יישום גמיש עבור לקוחות מסוגים שונים: שולחנות מזומנים, שערים, ספקים

איפה חשוב במיוחד

אינטגרציה עם תשלום, מזומן או מערכות פיסקליות
APIs פועל בסביבה רב שכירות או שותף
מערכות עם דרישות אימות בקשה מוגברות
אינטראקציה בין שירותים פנימיים ללא אישור קבוע

חתימת HMAC והצפנה הוא הנעילה API שלך נגד זיוף וחבלה. מנגנונים אלה מאפשרים לך לבנות אינטגרציה אמינה גם בתנאים של דרישות אבטחה מוגברות.