Estou vendo esta palavra em quase todas as aplicações de serviços..
O quê realmente é uma API KEY e quais são os seus usos?
Como ela realmente funciona?
Também por favor, se possível, explicar a diferença entre API KEYs públicas e privadas.
Estou vendo esta palavra em quase todas as aplicações de serviços..
O quê realmente é uma API KEY e quais são os seus usos?
Como ela realmente funciona?
Também por favor, se possível, explicar a diferença entre API KEYs públicas e privadas.
API Keys são credenciais de acesso fornecidas de maneira a autorizar o uso de funcionalidades específicas de uma API. Existem vários tipos de implementações.
O sentido de chave de API pública ou privada também depende da implementação. Por exemplo, você pode possuir uma chave pública emitida para seu cliente (digamos www.app.com) que permite o acesso a uma API específica (api.servico.com), que é então utilizada pelo seu browser. Entretanto chamadas de servidor para servidor utilizam uma outra chave, privada, para operações mais sensitivas como autenticação e validação de credenciais.
Basicamente uma API é um conjunto de rotinas e padrões de programação para acesso a uma aplicação de software ou plataforma baseado na Web. A sigla API refere-se ao termo em inglês "Application Programming Interface" que significa "Interface de Programação de Aplicativos" traduzindo para o português.
Geralmente API é desenvolvida quando uma empresa de software tem a intenção de que outros criadores de software desenvolvam produtos associados ao seu serviço. Existem várias empreas que disponibilizam seus códigos e instruções para serem usados em outros sites da maneira mais conveniente para seus usuários. Existe o Youtube, Google Maps, Facebook, Twitter; que são grandes exemplos na área de APIs. Por meio de seu código original, muitos outros sites e aplicações utilizam os dados adaptando-o da melhor forma a fim de utilizar esses serviços.
Por alguns motivos específicos, expor certos dados e recursos é uma estratégia de negócios e inovação muito bem pensada. É importante pensar em alguns motivos para essa exposição de dados. Mantenha esses aspectos em mente:
Da tradução livre do inglês, "Chave". Referênte ao significado do português temos, que é utensílio de metal que se introduz na fechadura à qual pertence para movimentar a lingueta, e que possibilita abrir ou cerrar portas, tampas, cadeados etc.
Considerando isso, a API KEY, esta muitas vezes atua como um identificador único e uma chave secreta para autenticação, e geralmente têm um conjunto de direitos de acesso à API associada a ele. Uma API KEY pode ser baseado no sistema UUID é a sigla em ingês para Universally unique identifier, que traduzindo para o português fica Identificador Único Universal, para garantir que será única para cada utilizador. É bem simples de compreender pois o nome auto-explicativo, mas o conceito do UUID é algo mais complexo e muito funcional.
No caso do Google Map, a sua 'API KEY' é baseada em um formulário curto do certificado digital do seu aplicativo, conhecido como impressão digital SHA-1. Para exibir a impressão digital SHA-1 do seu certificado, primeiro certifique-se de estar usando o certificado correto, sendo um certificado de depuração e de publicação.
Mantenha sua chave secreta e tokens de acesso privados. Você pode compartilhá-los com um agente que está operando em seu aplicativo, se ele assinar um acordo de confidencialidade.
A API KEY do Facebook é uma seqüência de números gerados aleatoriamente que cria cada vez que uma pessoa registrar seu aplicativo através do site. Sempre totalmente numérica na natureza e é composto por 15 caracteres. Mas é somente para este caso, pois cada empresa tem sua política para criação das chaves, sendo numéricas, apenas letras, etc.
Chaves de API permitem gerar uma credencial de autenticação que é separado do seu nome de usuário e senha em alguns casos. Deve-se criar chaves de API exclusivas para cada uma de suas aplicações ou servidores de modo que possa facilmente revogá-las sem interromper outros sistemas, se necessário.
Essa é uma pergunta muito ampla...
A função exata de uma API key depende bastante da entidade que a gerou e com qual intuito.
Geralmente, uma API KEY é o nome que se dá para uma token secreto que é enviado dentro de uma request para um webservice, de forma a identificar e muitas vezes autenticar o usuário que está chamando o serviço.
A chave também pode ser incluída como parte de uma assinatura da request inteira de forma a verificar o seu conteúdo e prevenir ataques como replay e man-in-the-middle
Além disso, nos casos em que você precisa autenticar o usuário antes que ele possa acessar um recurso de seu webservice, há uma grande vantagem de se usar uma API KEY. Esse tipo de chave/token viabiliza uma forma de autenticação stateless em que você não precisa criar sessões, fazer uso de cookies ou qualquer outro estado condicional/temporário que exigiriam chamadas adicionais e mecanismos de controle de sessão.
Por outro lado, se você tem um par de chaves (pública e privada) então estamos falando de alguma forma de criptografia assimétrica. As técnicas que envolvem esse tipo de criptografia são mais complexas e mais seguras para identificar positivamente a origem e a autenticidade de uma mensagem, ao mesmo tempo que a protege de alterações.
API Keys, como já foi dito, são credenciais de acesso fornecidas de maneira a autorizar o uso de funcionalidades específicas de uma API e são usadas para monitorar e controlar a forma como a API está sendo utilizada, por exemplo, para evitar o uso indevido ou abuso do API.
API Keys permitem gerar uma credencial de autenticação que é separado do seu nome de usuário e senha. Eles são independentes um do outro e são facilmente descartáveis. Você deve criar única API Key para cada um de seus aplicativos ou servidores de modo que você pode facilmente revogá-las sem interromper outros sistemas, se necessário.
Nesse site, em inglês, mostra as top 6 razões para usar uma API key e como usá-las.
API pública, como o próprio nome diz, esta chave é pública e pode ser visto por qualquer pessoa, que não compromete a segurança das informações. Já a privada deve ser mantida completamente privada e segura, pois com ela podem ser feitas consultas que comprometem a segurança. Depende da implementação.
Referências: