Proteger uma API exigindo chaves de API | Apigee Edge

É importante proteger a API contra acesso não autorizado. Uma maneira de fazer isso é com chaves de API (também chamadas de chaves públicas, chaves de consumidor ou chaves de app).

Quando um app faz uma solicitação à API, ele precisa fornecer uma chave válida. No ambiente de execução, a política Verify API Key verifica se a chave de API fornecida:

É válido
Não foi revogada
Corresponde à chave de API do produto de API que expõe os recursos solicitados

Se a chave for válida, a solicitação será permitida. Se a chave for inválida, a solicitação resultará em uma falha de autorização.

Neste tutorial, você vai criar um proxy de API que exige uma chave de API válida para acesso.

O que é necessário

Uma conta do Apigee Edge. Se você ainda não tiver uma, inscreva-se com as instruções em Como criar uma conta do Apigee Edge.
Um navegador da Web para fazer uma chamada de API.
(Não é necessário para a seção de crédito extra) cURL instalado na sua máquina para fazer chamadas de API pela linha de comando.

Criar o proxy de API

Acesse https://apigee.com/edge e faça login.
Alterne para a organização pretendida clicando no nome do usuário na parte superior da barra de navegação lateral para exibir o menu do perfil do usuário e selecionando a organização na lista.
Clique em Proxies de API na página de destino para exibir a lista de proxies da API.
Clique em + Proxy.
Na página Criar proxy, selecione Proxy reverso (mais comum).

Na página Detalhes do proxy, configure o proxy da seguinte maneira:

Neste campo	faça isso
Nome do proxy	Insira: `helloworld_apikey`
Caminho base do projeto	Altere para: `/helloapikey` O caminho base do projeto faz parte do URL usado para fazer solicitações ao proxy de API. Observação: para recomendações da Apigee sobre controle de versão de APIs, consulte Controle de versão no e-book Design da API da Web: o link ausente.
Existing API	Insira: `http://mocktarget.apigee.net` Isso define o URL de destino que o Apigee Edge invoca em uma solicitação ao proxy de API.
Descrição	Insira: `hello world protected by API key`

Clique em Próxima.
Na página Políticas comuns, em Segurança: autorização, selecione Chave de API e clique em Próxima. Isso adiciona duas políticas ao proxy de API.
Na página Hosts virtuais, selecione padrão e seguro e clique em Próxima. Selecionar padrão permite chamar sua API com http://. Ao selecionar secure, é possível chamar sua API com https://.
Na página Resumo, verifique se o ambiente de implantação de teste está selecionado e clique em Criar e implantar.
Você vai ver uma confirmação de que o novo proxy de API e um produto de API foram criados com sucesso e que o proxy de API foi implantado no ambiente de teste.
Clique em Editar proxy para exibir a página Visão geral do proxy de API.

Ver as políticas

No editor de proxy da API, clique na guia Desenvolver. Você vai notar que duas políticas foram adicionadas ao fluxo de solicitações do proxy de API:
- Verificar a chave de API:verifica a chamada de API para garantir a presença de uma chave de API válida (enviada como um parâmetro de consulta).
- Remover apikey de consulta:uma política AssignMessage que remove a chave de API após a verificação, para que ela não seja transmitida e exposta desnecessariamente.
Clique no ícone da política "Verificar chave de API" na visualização de fluxo e observe a configuração XML da política na visualização de código mais baixa. O elemento <APIKey> informa à política onde ela precisa procurar a chave de API quando a chamada é feita. Por padrão, ele procura a chave como um parâmetro de consulta chamado apikey na solicitação HTTP:
```
<APIKey ref="request.queryparam.apikey" />
```
O nome apikey é arbitrário e pode ser qualquer propriedade que contenha a chave de API.

Tentar chamar a API

Nesta etapa, você fará uma chamada de API bem-sucedida diretamente para o serviço de destino e fará uma chamada sem sucesso para o proxy de API para ver como ele está sendo protegido pelas políticas.

Sucesso

Em um navegador da Web, acesse o endereço a seguir. Este é o serviço de destino para o qual o proxy de API está configurado para encaminhar a solicitação, mas você a alcançará diretamente por enquanto:
```
http://mocktarget.apigee.net
```
Você receberá esta resposta bem-sucedida: Hello, Guest!
Falha

Agora tente chamar seu proxy de API:
```
http://ORG_NAME-test.apigee.net/helloapikey
```
substituindo ORG_NAME pelo nome da sua organização do Edge.

Sem a política "Verificar chave de API", essa chamada daria a mesma resposta que a chamada anterior. Nesse caso, você vai receber a seguinte resposta de erro:
```
{"fault":{"faultstring":"Failed to resolve API Key variable request.queryparam.apikey","detail":{"errorcode":"steps.oauth.v2.FailedToResolveAPIKey"}}}
```
Isso significa que, corretamente, você não passou uma chave de API válida como um parâmetro de consulta.

Nas próximas etapas, você vai adicionar um produto de API.

Adicionar um produto de API.

Para adicionar um produto de API usando a IU da Apigee:

Selecione Publicar > Produtos da API.
Clique em +Produto da API.

Insira os detalhes do produto do produto de API.

Campo	Descrição
Nome	Nome interno do produto de API. Não especifique caracteres especiais no nome. Observação:não é possível editar o nome depois que o produto da API é criado. Por exemplo, `helloworld_apikey-Product`.
Nome de exibição	Nome de exibição do produto de API. O nome de exibição é usado na interface e pode ser editado a qualquer momento. Se não for especificado, o valor "Nome" será usado. Esse campo é preenchido automaticamente com o valor do nome. Você pode editar ou excluir o conteúdo. O nome de exibição pode incluir caracteres especiais. Por exemplo, `helloworld_apikey-Product`.
Descrição	Descrição do produto de API. Por exemplo, `Test product for tutorial`.
Ambiente	Ambientes em que o produto de API permitirá acesso. Por exemplo, `test` ou `prod`.
Acesso	Selecione Público.
Aprovar automaticamente solicitações de acesso	Ativar a aprovação automática das solicitações de chave deste produto de API em qualquer app.
Cota	Ignorar para este tutorial.
Escopos do OAuth permitidos	Ignorar para este tutorial.

Na seção "Recursos de API", selecione o proxy de API que você acabou de criar. Por exemplo, helloworld_apikey.
Clique em Adicionar.
Na seção Caminhos, adicione o caminho "/".
Clique em Adicionar.
Clique em Salvar.

Nas próximas etapas, você receberá a chave de API necessária.

Adicionar um desenvolvedor e um app à sua organização

Em seguida, vamos simular o fluxo de trabalho de um desenvolvedor se inscrevendo para usar suas APIs. Um desenvolvedor terá um ou mais apps que chamam suas APIs, e cada app recebe uma chave de API exclusiva. Isso oferece a você, o provedor da API, um controle mais granular sobre o acesso às suas APIs e relatórios mais detalhados sobre o tráfego da API por app.

Crie um desenvolvedor

Para criar um desenvolvedor:

Selecione Publicar > Desenvolvedores no menu.
Clique em + Desenvolvedor.

Digite o seguinte na janela "New Developer":

Neste campo	enter
Nome	`Keyser`
Sobrenome	`Soze`
Nome de usuário	`keyser`
E-mail	`keyser@example.com`

Clique em Criar.

Registrar um aplicativo

Para registrar um app de desenvolvedor:

Selecione Publicar > Apps.
Clique em + App.

Digite o seguinte na janela Novo app:

p

Neste campo	faça isso
Nome e nome de exibição	Insira: `keyser_app`
Empresa / desenvolvedor	Selecione: `Developer`
Desenvolvedor	Selecione: `Keyser Soze (keyser@example.com)`
Callback URL e Observações	Deixar em branco

Na seção Credenciais, selecione Nunca no menu Validade. As credenciais deste aplicativo nunca expirarão.
Em Produtos, clique em Adicionar produto.
Selecione helloworld_apikey-Product.
Clique em Adicionar.
Clique em Criar acima e à direita da seção Detalhes do app para salvar seu trabalho.

Encontre a chave de API

Para acessar a chave de API, faça o seguinte:

Na página Apps (Publicar > Apps), clique em keyser_app.
Na página keyser_app, clique em Mostrar ao lado de Chave na seção Credenciais. Na seção Produto, observe que a chave está associada a helloworld_apikey.
.
Selecione e copie a chave. Ela será usada na próxima etapa.

Chamar a API com uma chave

Agora que você tem uma chave de API, pode usá-la para chamar o proxy de API. Digite o seguinte no seu navegador da Web: Substitua o nome da organização do Edge por ORG_NAME e a chave de API por API_KEY abaixo. Verifique se não há espaços extras no parâmetro de consulta.

http://ORG_NAME-test.apigee.net/helloapikey?apikey=API_KEY

Agora, ao chamar o proxy de API, você vai receber esta resposta: Hello, Guest!

Parabéns! Você criou um proxy de API e o protegeu exigindo que uma chave de API válida fosse incluída na chamada.

Em geral, não é uma boa prática passar uma chave de API como um parâmetro de consulta. Considere passá-la no cabeçalho HTTP.

Prática recomendada: passar a chave no cabeçalho HTTP

Nesta etapa, você vai modificar o proxy para procurar a chave de API em um cabeçalho chamado x-apikey.

Edite o proxy de API. Selecione Desenvolver > Proxies de API > helloworld_apikey e acesse a visualização Desenvolver.
Selecione a política Verificar chave de API e modifique o XML da política para permitir que a política procure no header e não no queryparam:
```
<APIKey ref="request.header.x-apikey"/>
```
Salve o proxy de API para implantar a mudança.
Faça a seguinte chamada de API usando cURL para transmitir a chave de API como um cabeçalho chamado x-apikey. Não se esqueça de substituir o nome da sua organização.
```
curl -v -H "x-apikey: API_KEY" http://ORG_NAME-test.apigee.net/helloapikey
```

Para concluir a mudança, você também precisa configurar a política AssignMessage para remover o cabeçalho em vez do parâmetro de consulta. Exemplo:

<Remove>
<Headers>
    <Header name="x-apikey"/>
</Headers>
</Remove>

Temas relacionados

Veja alguns tópicos diretamente relacionados a este tutorial:

Indo mais fundo, proteger APIs com chaves de API é apenas uma parte da história. Muitas vezes, a proteção da API envolve segurança adicional, como o OAuth.

O OAuth é um protocolo aberto que, em resumo, troca credenciais (como nome de usuário e senha) por tokens de acesso. Os tokens de acesso são strings longas e aleatórias que podem ser transmitidas por um pipeline de mensagens, mesmo de um app para outro, sem comprometer as credenciais originais. Os tokens de acesso geralmente têm vida curta, então novos são sempre gerados.