10

Estou desenvolvendo uma API usando Express, que deverá ser usada somente por uma aplicação no navegador, construída usando React e um aplicativo, feito usando React Native.

A pergunta é: como posso restringir o uso dessa API para que somente essas duas aplicações consigam acessá-la?

Tinha pensado em usar CORS, mas levando em conta que essa medida afeta somente navegadores, não irá ser tão útil assim.


Como mencionei em um comentário abaixo, preciso de fazer com que somente o meu front-end e a minha aplicação mobile possam consumir API (mesmo em rotas públicas). Penso que seja algo como um CSRF token, só que stateless.

2 Respostas 2

11

Você precisará de alguma forma de autenticação entre o cliente e a API. Existem algumas possibilidades que variam de acordo com o grau de segurança que você necessita.

Se quiseres algo trivial de implementar, podes fazer uma verificação de User-Agent ou token. Basta adicionar o header personalizado à todas as requisições feitas à API; cada aplicação pode ter seu UA/token específico. No Express, a verificação seria tão simples quanto req.headers['user-agent'].match(/MeuUserAgentPersonalizado/). Eu costumo identificar as aplicações nativas com o formato PacoteApp/VersaoApp (NomeSistema; VersaoSistema; MarcaDispositivo; ModeloDispositivo).

Caso necessite de mais segurança, acredito que a melhor opção é utilizar um middleware de autenticação, como o JSON Web Token - ou JWT. Existem alternativas ao implementar esta técnica, como usar chaves privadas (API Keys) embutidas nas aplicações; ou utilizar autenticação baseada em usuário e senha. A primeira será mais interessante caso você não esteja oferecendo a funcionalidade de contas de usuário; já a segunda é especialmente útil quando é necessário proteger os métodos ou recursos da API de acordo com regras mais granulares (como as permissões de acesso do usuário).

Recomendo algumas leituras sobre o tema:


Atualização:

Conforme sugerido nos comentários pelo Paulo Victor, uma possibilidade é usar o header Referer para autorizar ou negar as requisições. É importante notar que ele pode configurar problemas de privacidade e segurança em aplicações web, como explicado neste artigo (em inglês) da MDN. Sua implementação segue a proposta da utilização do User-Agent sugerida nesta resposta, assim sofre das mesmas fraquezas, visto que um atacante pode interceptar a requisição (um processo simples de fazer com aplicações web) e ver os headers, copiando-os com facilidade.

Sugiro ler a discussão sobre esse assunto no SO de Software Engineering How to safeguard a REST API for only trusted mobile applications, acredito ser o mesmo problema que você enfrenta.

TLDR; se você não se preocupa com possíveis invasores tentando replicar as requisições a partir dos headers (que podem ser inspecionados no navegador ou sofrer engenharia reversa), utilize uma combinação de User-Agent, Referer ou headers a seu critério. Para dificultar a prática da engenharia reversa, você pode usar valores dinâmicos (como combinar app secret + HTTP Method/URL + timestamp) ofuscados via hash e verificados na API. Eu penso que nenhuma alternativa é completamente segura havendo alguém com tempo e recursos abundantes para tentar violá-la.

4
  • 1
    Não creio que isso responda à pergunta. A sua resposta contempla meios de autenticação. O que eu quero é um meio de fazer com que somente o meu front-end e o meu aplicativo possam consumir a API (mesmo sem a autenticação do usuário). Editei a pergunta adicionando mais detalhes. 29/03/2019 às 1:02
  • 1
    Entendi. Estarei atualizando minha resposta assim que possível. 29/03/2019 às 1:06
  • Você pode checar o referrer e checar se é o domínio do seu front-end. Para isso, use req.headers.referer 29/03/2019 às 3:09
  • Resposta atualizada. Havendo necessidade, podemos discutir essas (e outras) abordagens de segurança no chat. 29/03/2019 às 12:14
6
+50

Qualquer tipo de chave, token ou segurança que você for aplicar, terá de ser aplicada também no lado do cliente. E esse é o grande problema. Quando estamos falando de uma aplicação web, existem formas fáceis de inspecionar o navegador e achar essa chave ou token. Já em um aplicativo mobile, o usuário pode descompilar o seu app e facilmente pegar essa chave. Se a conexão entre o cliente e o servidor não utiliza SSL, alguém com um monitor de rede consegue visualizar as requisições.

O fato é, no seu caso, a sua API é pública. O usuário não precisa previamente fazer um login para utilizá-la ou coisa do tipo. É só consultar e fazer requisições.

Se alguém realmente quiser bater na sua API vindo de fora das suas aplicações, ele vai conseguir. Não importam as técnicas que você adicionar para evitar isso, tudo que vai acontecer é dificultar esse trabalho, mas ainda é possível.

O que eu geralmente faço em APIs públicas é monitorar. Os servidores e serviços de cloud hoje já tem ferramentas para bloquear e despriorizar requisitores que estejam abusando da sua aplicação. Paute suas decisões de acordo com o que os dados te mostram. Monitore sua aplicação e veja se realmente existe alguém tentando fazer algo que não deveria. Se não estiverem, pra que se preocupar tão cedo? E se estiverem tentando, é um bom sinal. Sua aplicação já está tão famosa que está chamando atenção. Quando chegar aí, tome as devidas providências: JWT, CORS, CSRF.

A única forma de garantir 100% de que sua API pública não receberá requisições de fora, é tornando-a privada. Assim, você tem controle de 100% dos requisitores.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .