Blog

API2 Machine-to-Machine Authentication: API Key Tasarımı, HMAC İmzalı İstekler ve Token Endpoint'lerini Korumak

Makineler arası bir API key; tanınabilir prefix'li, yalnız hash'i saklanan, tenant ve scope'a bağlı, iki aktif key ile rotation'a ve revocation'a izin veren bir formatla tasarlanır ve asla query string'de taşınmaz. Custom authentication handler, timestamp ve body hash'iyle HMAC imzalı istekler, replay koruması ve parola sıfırlama gibi endpoint'lerde IP ve hesap başına limitleri testleriyle kuruyoruz.