3

Estou começando a estudar firebase, gostei muito do firebase database realtime para web, mas uma dúvida que não sai da minha cabeça é, como proteger minha conta se os dados de configurações ficam em js? tipo outra pessoa mau intencionada pode usar acredito o código js, ou não tem como..

<script src="https://www.gstatic.com/firebasejs/3.6.6/firebase.js"></script>
<script>
  // Initialize Firebase
  var config = {
    apiKey: "E",
    authDomain: "",
    databaseURL: "",
    storageBucket: "",
    messagingSenderId: ""
  };
  firebase.initializeApp(config);
</script>
1

2 Respostas 2

5

Lá no console do firebase, na aba Authentication possui a opção de domínios autorizados à utilizar o Firebase.

Por padrão já vem registrado localhost e o domínio do seu projeto.

Dê uma olhada nesse link:

Configurar domínios de redirecionamento do OAuth de um app da Web https://support.google.com/firebase/answer/6400741

Lembrando que: se você deixar o localhost, aí sim alguém mal intencionado pode fazer algo.

Veja um print de onde você pode configurar: inserir a descrição da imagem aqui

1
  • Demorei um tempo para entender sua resposta mas é isso mesmo 19/04/2017 às 18:40
0

Os dominios permitidos para autenticação que o Thiado Bocchile falou, tem a ver apenas com a Autenticação, ou seja, no caso do desenvolvimento frontend com javascript, mesmo que façam o download da sua pagina inteira, não será possivel se Autenticar através dessa pagina porque ela não está em um local permitido(se voce removeu o localhost claro) mas isso não é o suficiente, como não é possivel esconder os dados de acesso do firebase (mesmo que você "esconda" no servidor e busque em tempo de execução os dados de acesso para essa busca estarão disponiveis no arquivo js) você precisa proteger os dados e arquivos através das Autorizações de usuários, pra permitir que só usuarios Autenticados possam acessar os dados, e somente os dados que cada usuario tem Autorização, do contrario, o "invasor" pode por exemplo acessar os dados mesmo sem autenticação, ou com um usuario qualquer, criado na propria pagina (ou como Anonimo), a segurança no firebase só funciona unindo Autenticação com Autorização, qualquer descuido, e alguem pode ler e apagar todos os seus dados com 3 linhas de codigo.

ps. apesar de eu ter dito que "esconder" os dados no server não resolve, ajuda um pouco, pois fica mais dificil para o invasor saber o que esta procurando no seu codigo, por padrão é só ele procurar a palavra apiKey que ele encontra mesmo no codigo minificado todas as informações de acesso.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .