1

buenos dias/tardes/noches veran tengo este problema que tengo yo unas api keys de conekta (si has trabajado con pasarelas de pago sabrás a lo que me refiero) y pues tengo una key publica y otra que es privada sin embargo la api publica la debo de colocar en el front end (y solo en el front end) a modo dentro de un (html) por ejemplo este si no mal recuerdo usa js:

 <script>
        Conekta.setPublicKey("AQUI VA LA API KEY");
        var conektaSuccessResponseHandler= function(token){
            $("#conektaTokenId").val(token.id);
        }
        var conektaErrorResponseHandler= function(response){
            var $form=("#card-form");
            alert(response.message_to-purchaser);
        }
        $(document).ready(function () {
            $("#card-form").submit(function(e){
                e.preventDefault();

                var $form=$("#card-form");

                Conekta.Token.create($form,conektaSuccessResponseHandler,conektaErrorResponseHandler);
            })
        })
    </script>

me han dicho en otros foros que las api keys aun que sean publicas la gente no debería de ponerlas tan libremente en el front end (cualquier listillo que sepa de arquitectura de paginas web básica la podría ver) y por eso empecé a investigar... yo uso php y ya he trabajado por con archivos dotenv sin embargo vi que no es lo mismo ponerlos en un archivo .php que en uno .html, ¿hay alguna manera de tapar o de evitar que la api key este asi al descubierto en el html? si no se entiende la pregunta háganmelo saber para editar y esclarecer la misma.

9
  • 1
    La pregunta es: ¿puedes usar la API KEY en entorno de servidor (PHP u otro) o tienes que hacerla pública en el cliente? ¿por qué tienes que hacerla pública en el cliente? Si la pones en el cliente no habrá forma de evitar que otros usuarios la conozcan. Para los casos en que la API KEY debe ir en el cliente, lo que te ofrecen es la posibilidad de restringir los dominios que pueden usar esa API KEY.
    – A. Cedano
    Commented el 5 oct. 2022 a las 16:21
  • eso es lo que yo quisiera saber, como puedo hacer para "traer" la api key al cliente pero sin que la vean, por eso puse de ejemplo el dotenv Commented el 5 oct. 2022 a las 17:02
  • 2
    Depende, pero en muchos otros casos la api key publica va acompañada de una api key privada. La publica si se puede dejar publica, la privada es la que no se puede compartir y por nada del mundo la pongas en el frontend, ni mucho menos la envies al frontend por ningún lado. Probablemente este sea tu caso, si tienes una api key publica y una api key privada, lo mas probable es que tener la publica sin la privada no sea util para nadie. Por algo también se llama "Public key"
    – Pipe
    Commented el 5 oct. 2022 a las 19:03
  • No es posible tener la API KEY en el cliente sin que la vean. Pero no has respondido a mi interrogante: ¿por qué debe estar la API KEY en el cliente? ¿No puedes usarla en el servidor para consultar a la API y luego en el cliente ofrecer la información ya consultada?
    – A. Cedano
    Commented el 5 oct. 2022 a las 22:45
  • 1
    Yo tuve una situación parecida a la tuya. En ese entonces yo no sabía que Google, en mi caso, daba la posibilidad de restringir las URL que pueden usar una API KEY, cosa que hice en GCP y ningún problema al respecto.
    – A. Cedano
    Commented el 5 oct. 2022 a las 23:34

0

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

Examina otras preguntas con la etiqueta o formula tu propia pregunta.