1

El problema es el siguiente:

Yo tengo una aplicación desarrollada en Angular 4 y una API desarrollada en nodejs. Resulta que le mando un header a mi API con una Api-key determinada y esta me devuelve la información siempre y cuando la Api-key sea correcta.

Ahora el problema es que la Api-key es visible para todo el mundo. Ya que desde la DevTools(Networks) se puede ver la información mandado por el header.

Consola de network

Mi pregunta es: ¿Existe alguna manera de poder ocultar la Api-key? o al menos ¿Existe alguna otra forma mas segura de proteger estos datos personales?

5
  • Es una API pública? el 12 feb. 2019 a las 10:35
  • Si ya que tiene conexión con otros dominios. el 12 feb. 2019 a las 10:40
  • Al ser la API pública cualquiera puede acceder a la apikey, aunque no sea desde tu aplicación yendo al origen de esta API así que si no quieres hacerlo no es un paso necesario el 12 feb. 2019 a las 10:56
  • Lo que quiero es tener la mayor seguridad para mis API´s claro esta que de esta forma yo puedo exceder fácilmente. Ahora como hago para evitar esta vulnerabilidad. A lo mejor tengo que reemplantear la pregunta. el 12 feb. 2019 a las 14:48
  • Ocultarla en el developer tools no es posible. La única protección es que no te las intercepten en transito. La autenticación se hace con cookies, headers de autorización como tu caso o una combinación de ambos. Si lo que te preocupa es que se accedan a tus apiKeys deberias usar JWT y almacenar en el server sólo las cabeceras para que un ataque a la base de datos no revele dicha información.
    – devconcept
    el 12 feb. 2019 a las 17:18

1 respuesta 1

0

Lo primero es que desde el servidor debes poner una politica del mismo origen y restringir para que otros dominios no tengan acceso a la API sino solo tu dominio.

En NodeJs seria algo como:

app.use(function(req, res, next) {
  //console.log('allowedOrigins origin: ',req.headers.origin);
  let allowedOrigins = ["http://misitioweb"];
  let origin = req.headers.origin;
  if(allowedOrigins.indexOf(origin) > -1){
       res.setHeader('Access-Control-Allow-Origin', origin);
  }

  res.header('Access-Control-Allow-Headers', 'Origin, Content-Type, Authorization, Content-Length, X-Requested-With, Accept, x-xsrf-token, x-access-token');
  res.header("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE, OPTIONS");
  next();
});

Lo segundo es que cuando ya pongas el proyecto en produccion debes adquirir un certificado ssl para cifrar todos los datos y asi no habra problema si alguien intercepta los datos por que la key ira cifrada.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.