مفتاح واجهة برمجة التطبيقات هو سلسلة فريدة من الأحرف الرقمية والحروف، تُنتَج عشوائيًا، وتستخدمها واجهات برمجة التطبيقات للتحقق من صحة التطبيقات التي تقوم بإجراء استدعاءات إلى واجهة برمجة التطبيقات. يرتبط كل مفتاح يصدره مزود واجهة برمجة التطبيقات بعميل معين، مثل وحدة برمجية. تعمل مفاتيح واجهة برمجة التطبيقات على تمكين خادم الواجهة من تحديد البرامج والتطبيقات التي ترسل استدعاءً إليها. يتم استخدام المفتاح الذي تم إنشاؤه لكل طلب يتم إرساله من ذلك التطبيق أو المشروع إلى واجهة برمجة التطبيقات المرتبطة (حتى يتم تحديث المفتاح أو حذفه).

تتم العملية على النحو التالي:

عندما يقوم أحد التطبيقات بإجراء استدعاء إلى واجهة برمجة التطبيقات لطلب وظائف أو بيانات من تطبيق آخر، يستخدم خادم واجهة برمجة التطبيقات مفتاح واجهة برمجة التطبيقات للتحقق من صحة التطبيق. بالنسبة إلى تطبيقات الويب وواجهات برمجة تطبيقات REST، يمكن إرسال المفتاح كعنوان أو في سلسلة استعلام أو كملف تعريف ارتباط. إذا تطابق مفتاح API مع مفتاح معتمد، يقوم الخادم بإرجاع البيانات المطلوبة. وإذا لم يحدث ذلك، فإنه يرفض المكالمة ويُرسِل رسالة رفض.

يمكن للمطورين إضافة المزيد من عمليات التحقق والقيود إذا لزم الأمر.

على سبيل المثال، يمكن للمطورين تكوين حقوق الوصول لتطبيق أو مشروع يسمح فقط بالوصول إلى أنواع معينة من البيانات أو الوظائف. ويمكن للمطورين أيضًا تعيين قيود التطبيق التي تحدد مواقع الويب وعناوين IP والتطبيقات (أو تطبيقات الأجهزة المحمولة) ومجموعات تطوير البرامج (SDKs) التي يمكنها استخدام مفتاح واجهة برمجة التطبيقات.

على الرغم من أن مفاتيح واجهة برمجة التطبيقات هي جزء من أمان واجهة برمجة التطبيقات، إلا أنها ينبغي ألَّا تكون الطريقة الوحيدة التي تتبعها المؤسسة لمصادقة الاستدعاءات التي يتم إجراؤها إلى واجهة برمجة التطبيقات والتحقق من صحتها. في الواقع، على الرغم من فائدة مفاتيح واجهة برمجة التطبيقات، إلا أنها ليست طريقة آمنة بشكل خاص لمصادقة الاستدعاءات. إذ يمكن لمفاتيح واجهة برمجة التطبيقات تحديد تطبيق أو مشروع معين، ولكن لا يمكنها التحقق من صحة المستخدم الفردي الذي يستخدم التطبيق الذي يُجري الاستدعاءات. وهذا يجعل مفاتيح واجهة برمجة التطبيقات خيارًا سيئًا لفرض التحكم في الوصول إلى واجهة برمجة التطبيقات. تقدِّم مفاتيح واجهة برمجة التطبيقات إمكانية تحديد المشروع وتفويضه فقط، وليس تعريف المستخدم أو تفويضه.

فكر في مفتاح واجهة برمجة التطبيقات على أنه كلمة مرور: إنه طبقة واحدة من الأمان، ولكنه أيضًا نقطة فشل محتملة لخرق الأمان. وكما هو الحال مع كلمة المرور، يمكن لأي شخص لديه حق الوصول إلى مفتاح واجهة برمجة التطبيقات استخدامه. ولا توجد طريقة للتحقق من الشخص الذي يستخدم المفتاح. ونادرًا ما تنتهي صلاحية المفاتيح ما لم يتم تجديدها على وجه التحديد.

لا تُعتبر مفاتيح واجهة برمجة التطبيقات المستخدمة مع تطبيقات الويب آمنة عبر بروتوكول نقل النص التشعبي العادي (HTTP)؛ لأنها ترسل بيانات اعتماد غير مشفرة. ولكي يتم اعتبار تطبيقات الويب آمنة، يجب أن تكون لها شهادة طبقة مآخذ توصيل آمنة (SSL)، والمعروفة باسم بروتوكول نقل النص التشعبي الآمن (HTTPS).

تتضمن طرق التحقق الأخرى من استدعاءات واجهة برمجة التطبيقات ما يلي:

تضيف الرموز المميزة للمصادقة، المعروفة أيضًا بالرموز المميزة لواجهة برمجة التطبيقات، طبقة إضافية من أمن واجهة برمجة التطبيقات؛ لأنها تستطيع تحديد مستخدم معين، وليس فقط التطبيق الذي يقدِّم الطلب. هذه الرموز المميزة هي مقتطفات من التعليمات البرمجية التي تحدِّد المستخدم لواجهة برمجة التطبيقات التي يطلب البيانات منها. ولأنها عبارة عن أسطر متعددة من التعليمات البرمجية بدلًا من سلسلة أبجدية رقمية واحدة، فإنها توفِّر مزيدًا من المعلومات لواجهة برمجة التطبيقات حول الشخص أو المشروع الذي يقدم طلبًا. يمكن أيضًا إنشاء الرموز المميزة لواجهة برمجة التطبيقات بنطاق محدود، ما يمنح الوصول إلى معلومات محددة فقط لفترة محدودة. 

يُعَد بروتوكول OAuth (التفويض المفتوح) جزءًا من الطريقة القياسية في المجال لتفويض ومصادقة الاستدعاءات إلى واجهة برمجة التطبيقات عند استخدامها مع OpenID Connect (اختصارًا OIDC). وهو الجانب الذي يمنح المستخدمين حق الوصول إلى المعلومات المطلوبة ويُستخدَم في العملية الأوسع لمصادقة المستخدم.

يستخدم OAuth نوعًا من الرمز المميز لواجهة برمجة التطبيقات يُسمَّى الرمز المميز للوصول. تُصدِر واجهات برمجة التطبيقات الرموز المميزة للوصول للمستخدمين الذين يطلبون الوصول إليها. تمنح هذه الرموز المميزة، من خلال سلسلة من الاتصالات بين واجهة برمجة التطبيقات والمستخدم، الوصول إلى المعلومات المحددة التي طلبها المستخدم دون الحاجة إلى مشاركة بيانات الاعتماد أو غيرها من المعلومات الآمنة مع واجهة برمجة التطبيقات.

يُعَد OpenID Connect بروتوكول مصادقة مبنيًا على OAuth، والذي يمكِّن OAuth من مصادقة المستخدمين عن طريق إصدار رموز الهوية المميزة بالإضافة إلى رموز الوصول المميزة. تتضمن رموز الهوية المميزة هذه أيضًا معلومات حول الحساب المحدد الذي يقدِّم الطلب، بدلًا من المشروع فقط. يقوم OpenID Connect بإجراء تعديلات طفيفة على تدفق تفويض OAuth من خلال طلب كل من رمز الوصول المميز ورمز الهوية المميز قبل منح حق الوصول إلى واجهة برمجة التطبيقات.

يمكن استخدام مفاتيح واجهة برمجة التطبيقات مع أشكال أخرى من المصادقة لاستدعاءات واجهة برمجة التطبيقات، أو يمكن استخدامها بشكل منفصل. داخل المؤسسة، قد تستخدم واجهة برمجة التطبيقات أنواعًا مختلفة من المصادقة والتفويض اعتمادًا على من يطلب الوصول. قد تحتاج بعض أجزاء المؤسسة، مثل المطورين، إلى وصول غير مقيد إلى واجهة برمجة التطبيقات، بينما تحتاج الأقسام الأخرى إلى وصول أكثر إحكامًا.

توفِّر مفاتيح واجهة برمجة التطبيقات وظائف مفيدة داخل المؤسسة تتجاوز المصادقة البسيطة. ولأن هذه المفاتيح تساعد على تحديد الوصول إلى واجهة برمجة التطبيقات، فيمكن أيضًا استخدامها للحفاظ على تشغيل التطبيقات وتوفير بيانات مفيدة حول كيفية استخدامها.

حظر حركة المرور المجهولة
تُعَد مفاتيح واجهة برمجة التطبيقات جانبًا مهمًا من جوانب إدارة الوصول، ما يسمح للمؤسسة بالتحكم في المستخدمين الذين يمكنهم الوصول إلى واجهات برمجة التطبيقات الخاصة بهم. قد تكون حركة المرور المجهولة إلى واجهة برمجة التطبيقات مؤشرًا على وجود نشاط ضار. ويتيح استخدام مفاتيح واجهة برمجة التطبيقات للمؤسسة حظر الوصول غير المصرَّح به إلى واجهات برمجة التطبيقات، مثل استدعاءات واجهة برمجة التطبيقات المجهولة، والتي يمكن أن تَحُد من نطاق الهجوم الإلكتروني المحتمل. يساعد تقييد خدمة واجهة برمجة التطبيقات بهذه الطريقة أيضًا على منع تلقي تدفق هائل من الطلبات، ما يقلل من فرص تعطل التطبيقات المهمة.

التحكم في عدد الاستدعاءات التي يتم إجراؤها لواجهات برمجة التطبيقات
يمكن استخدام مفاتيح واجهة برمجة التطبيقات لتقييد حركة البيانات على واجهة برمجة التطبيقات، وهو إجراء يُعرف باسم تحديد المعدل. يتيح تحديد المعدل للمؤسسة التحكم في عدد الطلبات التي يتم إجراؤها على واجهة برمجة التطبيقات من قِبل العميل خلال فترة محددة. يتم رفض الوصول إلى واجهة برمجة التطبيقات بعد وصول حركة المرور إلى الحد المحدد.

من خلال السماح بحركة مرور التطبيق ضمن المَعلمات المحددة فقط، يمكن للمؤسسة تحسين استخدام موارد واجهة برمجة التطبيقات والنطاق الترددي. ويمكن تحديد هذه الإعدادات في وثائق واجهة برمجة التطبيقات الخاصة بالمؤسسة.

مراقبة توجهات استخدام واجهة برمجة التطبيقات
نظرًا لأن مفاتيح واجهة برمجة التطبيقات هي معرِّفات فريدة، يمكن للمؤسسة استخدامها لتتبُّع حركة المرور والاستدعاءات التي تم إجراؤها على واجهات برمجة التطبيقات. باستخدام هذه المفاتيح، يمكن للمؤسسات تتبُّع كل استدعاء يتم إجراؤه إلى واجهة برمجة التطبيقات إلى تطبيق معين. ويمكنها أيضًا تحديد عدد الاستدعاءات التي يتم إجراؤها ونوع هذه الاستدعاءات ونطاق عناوين IP للمستخدم وحتى تحديد إذا ما كانوا يستخدمون نظام التشغيل iOS أو Android.

إن تحليل أنماط الاستخدام يساعد المؤسسة على فهم أفضل لأجزاء المؤسسة التي تصل إلى نقاط نهاية محددة بشكل متكرر. وتُعَد مراقبة حركة المرور وتصفية السجلات مفيدةً أيضًا لأمن واجهة برمجة التطبيقات. ففي حالة حدوث هجوم إلكتروني، يمكن أن يؤدي التحقق من النشاط على خادم واجهة برمجة التطبيقات مقابل مفاتيح واجهة برمجة تطبيقات محددة إلى منح المؤسسة نظرة ثاقبة أكبر حول الهجوم والمفاتيح التي ربما تم اختراقها.

يمكن أن تساعد مفاتيح واجهة برمجة التطبيقات على حماية واجهات برمجة التطبيقات والبيانات والشبكات، ولكن فقط عند استخدامها بطريقة آمنة. تستخدم العديد من المؤسسات هذه الأساليب للتأكد من أن مفاتيح واجهة برمجة التطبيقات الخاصة بها آمنة ومنع واجهات برمجة التطبيقات من أن تصبح ناقلات لهجوم إلكتروني.

دمج طرق مصادقة متعددة
مفاتيح واجهة برمجة التطبيقات ليست آمنة بما يكفي لتكون الطريقة الوحيدة التي يتم بها مصادقة استدعاءات واجهة برمجة التطبيقات. فهي لا تستطيع التحقق من صحة المستخدمين الفرديين ويمكن اختراقها بسهولة. يمكن أن تضيف مفاتيح واجهة برمجة التطبيقات حاجز أمان إضافيًا إلى النظام البنائي لواجهة برمجة التطبيقات الخاصة بالمؤسسة عند استخدامها مع طريقة مصادقة أخرى مثل OAuth أو رموز الويب المميزة JSON (اختصارًا JWT) أو رموز المصادقة المميزة.

ليس من غير المألوف أن تستخدم المؤسسات أكثر من طريقة مصادقة واحدة. على سبيل المثال، يمكن للمطورين استخدام مفاتيح واجهة برمجة التطبيقات داخليًا لتوفير وصول غير مقيد إلى واجهات برمجة التطبيقات في أثناء التطوير، ثم استخدام OAuth للعملاء الخارجيين لأنه يوفِّر رموزًا تنتهي صلاحيتها ويمكن إعدادها للسماح فقط بالوصول إلى بيانات محددة.

التخزين الآمن للمفاتيح
عندما تُنشأ المفاتيح، غالبًا ما يتم إنتاجها بنص عادي. تمامًا مثل كلمة المرور، يعتمد أمان هذا المفتاح على كيفية ومكان تخزينها. يُوصي محترفو الأمان بتخزين هذه المفاتيح كقيم مجزأة في قاعدة بيانات حتى لا تكون عرضةً للسرقة.

كما أن تضمين مفاتيح واجهة برمجة التطبيقات في التعليمات البرمجية المَصدر أو المستودع يجعلها عرضةً للمهاجمين، عند نشر التطبيق، وقد يتم كشف المفاتيح للجمهور أيضًا. إذا أمكن، فاستخدم مخزن بيانات آمنًا ومشفَّرًا لحفظ مفاتيح واجهة برمجة التطبيقات التي تم إنشاؤها.

تدوير المفاتيح أو استبدالها
لا تنتهي صلاحية مفاتيح واجهة برمجة التطبيقات ما لم يحدد المطورون تاريخ انتهاء صلاحية، أو إذا قام منشئ المفاتيح بإلغاء الوصول أو إعادة إنشاء المفتاح. وإذا حصل مستخدم غير مصرَّح له على مفتاح واجهة برمجة التطبيقات، فيمكنه الوصول إلى البيانات الحساسة دون علم أي شخص داخل المؤسسة. ففي النهاية، هم يستخدمون المفتاح الصحيح للحصول على البيانات التي يطلبونها.

يمكن أن يساعد تدوير وإنشاء مفاتيح جديدة لواجهة برمجة التطبيقات كل 90 إلى 180 يومًا في الحفاظ على أمان واجهات برمجة التطبيقات. ومن المستحسن أيضًا حذف مفاتيح واجهة برمجة التطبيقات التي لم تَعُد قيد الاستخدام. وللحصول على طبقة إضافية من الحماية، يمكن للمؤسسات الحد من نطاق الوصول لمفاتيح واجهة برمجة التطبيقات المشتركة مع العملاء من خلال فرض حقوق الوصول. تمنح هذه الحقوق المستخدمين إمكانية الوصول إلى نقاط النهاية التي يحتاجون إليها ولا شيء آخر. تعمل بعض المؤسسات على أتمتة عملية إنشاء المفاتيح الجديدة للتأكد من تغييرها بانتظام.