4

Este es el código que indica Firebase para configurar una App Web que pueda leer datos de Real Time Database con el SDK de Javascript:

  // Set the configuration for your app
  // TODO: Replace with your project's config object
  var config = {
    apiKey: "apiKey",
    authDomain: "projectId.firebaseapp.com",
    databaseURL: "https://databaseName.firebaseio.com",
    storageBucket: "bucket.appspot.com"
  };
  firebase.initializeApp(config);

  // Get a reference to the database service
  var database = firebase.database();

Quisiera hacer una implementación de en un sitio web con hosting compartido. He probado el código con mis datos y funciona.

Pero como se puede apreciar, la APIKEY del proyecto y la URL de la base de datos quedarían expuestas en el cliente.

  • ¿Esto es peligroso? ¿Qué posibles peligros podría haber?
  • ¿Hay alguna forma de evitarlo? (Tendría que usar el SDK de Javascript, no sé usar Node o similares y quiero mostrar los datos en una página web normal que ya existe en Wordpress. Podría hacerlo con PHP, pero no encontré nada sobre PHP en Firebase).
8
  • ¿La API tiene restricciones de URL? (Por ejemplo, solo puede llamarse desde el host xyz, como tienen las APIs de Google o Facebook)
    – Alvaro Montoro
    Commented el 12 feb. 2018 a las 13:15
  • @AlvaroMontoro no lo sé. Firebase es Google. No leí o no vi que exista esa posibilidad la cual sería interesante.
    – A. Cedano
    Commented el 12 feb. 2018 a las 13:33
  • 2
    Puede haber ideas opuestas que si es peligro y que no, en todo caso en la documentación ofrece algo que podría ayudar en primera instancia sobre la clave API y su seguridad.
    – Dev. Joel
    Commented el 12 feb. 2018 a las 13:34
  • Lo que yo me refería es a lo que se indica en el enlace compartido por @Dev.Joel sobre añadir restricciones a la clave de API para HTTP referrers
    – Alvaro Montoro
    Commented el 12 feb. 2018 a las 13:43
  • 1
    @Dev.Joel has dado en el clavo amigo. Efectivamente, autoricé solamente un dominio a acceder a la API agregando una restricción HTTP según lo indicado aquí y al tratar de entrar desde otro dominio lo bloquea: PHP Fatal error: Uncaught exception 'Google_Service_Exception' with message '{ "error": { "errors": [ { "domain": "global", "reason": "insufficientPermissions", "message": "Insufficient Permission" } ], "code": 403, "message": "Insufficient Permission" } }.
    – A. Cedano
    Commented el 12 feb. 2018 a las 14:13

1 respuesta 1

5

El peligro que puede tener es que si tu API está visible, cualquier persona podría copiarla y usarla para hacer peticiones y llegar a tu límite (lo cual implicaría que las peticiones dejarían de funcionar o se te pasaría una factura, dependiendo del tipo de servicio que tengas).

Si es un proyecto privado, puedes (debes) incluir en el contrato que todo el código (incluyendo claves de API) te pertenece y el cliente no lo puede usar. Aunque eso no es tan sencillo cuando es una aplicación abierta a Internet.

Para evitar ese robo de claves, muchas APIs (como por ejemplo las de Google o Facebook) permiten restringir el acceso a una serie de dominios. Entonces si se intenta acceder a la API fuera del host indicado, la petición será rechazada.

En Google (el caso de Firebase que indicas) puedes restringir los HTTP referrers para que sólo se admitan peticiones desde ciertos dominios. Los pasos a seguir para crear una API restringida serían los siguientes:

  1. Ve a la consola de desarrolladores de Google.
  2. Pulsa en Credenciales introducir la descripción de la imagen aquí
  3. Opcional: Si no tienes un proyecto, debes crear uno.
  4. Pulsa en el botón de "Crear Credenciales" y selecciona "API Key" introducir la descripción de la imagen aquí
  5. Pulsa en "Restringir Clave"
  6. En el menú que te aparece en la siguiente página, selecciona la opción "HTTP Referrers": introducir la descripción de la imagen aquí
  7. En la caja de texto que aparece abajo, introduce los dominios que quieres que tengan acceso a tu clave de API (puedes usar "expresiones regulares" para incluir múltiples dominios/subdominios)
  8. Pulsa en Guardar

Ahora, sólo los dominios especificados en la lista tendrán acceso a tu clave de API.

Puedes dejar la caja de texto vacía para no tener restricciones mientras estás desarrollando y probando tu aplicación, pero es importante añadir una lista de dominios antes de mover la aplicación a producción.

1
  • restringir por el Header Referer es la forma más sencilla de comenzar a evitar el abuso de la API Key por terceros, sin embargo es una medida muy fácil de brincarse con peticiones que no se hagan en el navegador o con extensiones que pueden cambiar los headers, ¿valdría la pena una pregunta con otras ideas al respecto? Commented el 1 dic. 2021 a las 0:17

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.