کلید محرمانه سرویس مدل نباید داخل جاوااسکریپت صفحه، کد HTML یا ذخیره‌سازی مرورگر بماند. پنهان‌کردن نام متغیر یا فشرده‌سازی فایل آن را مخفی نمی‌کند. یک واسط سمت سرور لازم است که هم کلید را نگه دارد و هم مجوز، سهمیه و دامنه درخواست کاربر را کنترل کند.
روش اجرا و تصمیم‌گیری
مرورگر درخواست محدود برنامه را به سرور خودتان می‌فرستد. سرور هویت و اختیار کاربر، طول ورودی، نوع عملیات و سقف مصرف را بررسی می‌کند و سپس با راز نگهداری‌شده در محیط مجاز به سرویس وصل می‌شود. واسطی که هر URL و هر آرگومان را بی‌قید می‌پذیرد، فقط محل سوءاستفاده را جابه‌جا کرده است.
کلیدهای محیط آزمایش و تولید را جدا کنید و حداقل دسترسی لازم بدهید. راز در مخزن کد، فایل قابل دانلود یا گزارش خطا چاپ نشود. فرایند چرخش و لغو را از قبل مشخص کنید تا در صورت افشا، تغییر کلید وابسته به حدس محل مصرف نباشد.
برای بررسی، فایل‌های عمومی بیلد و درخواست‌های شبکه مرورگر را با کلید ساختگی علامت‌دار آزمایش کنید. اصل کلید واقعی را برای جست‌وجو در ابزار عمومی وارد نکنید. همچنین خطاهای سرور نباید سرآیند احراز هویت را به پاسخ کاربر برگردانند. گزارش مصرف به شناسه داخلی متصل شود، نه افشای راز.
نمونهٔ ساختگی و قابل تکرار
در نمونه آموزشی، کد صفحه متغیری با مقدار «کلیدساختگی‌آزمون» دارد. حتی پس از فشرده‌سازی، جست‌وجوی فایل عمومی آن را پیدا می‌کند. نسخه اصلاحی فقط نشانی مسیر داخلی را دارد؛ کلید آزمایشی در سرور است و کاربر فاقد مجوز پیش از تماس با سرویس رد می‌شود. آزمون دوم ورودی بسیار بزرگ می‌فرستد و باید با پیام روشن در مرز برنامه محدود شود. این‌ها آزمایش دفاعی در محیط خودمان هستند، نه بررسی سامانه دیگران.
محدودیت‌ها و خطاهای رایج
برخی سرویس‌ها توکن کوتاه‌عمر مخصوص مرورگر دارند؛ آن‌ها با کلید اصلی یکی نیستند و باید قرارداد رسمی خودشان رعایت شود. صرف سمت‌سرور کردن کلید امنیت کامل نمی‌سازد. کنترل حساب، شبکه، داده و مصرف همچنان لازم است و در این مقاله به محصول خاصی نسبت داده نمی‌شود.
کنترل پیش از استفاده
| کنترل | معیار پذیرش |
|---|---|
| عمومی نبودن | بیلد و پاسخ شبکه حاوی کلید اصلی یا سرآیند حساس نباشند. |
| واسط محدود | هویت، عملیات و سهمیه قبل از فراخوانی سرویس بررسی شوند. |
| چرخه راز | مالک، محل مصرف و روش لغو یا تعویض کلید مشخص باشند. |
کاربرگ همراه
در فایل فقط شناسه محل بررسی را ثبت کنید و خود راز واقعی را ننویسید. برای آزمون از مقدار ساختگی استفاده کنید. اگر افشای واقعی دیده شد، صرف حذف از صفحه کافی نیست؛ مسیر لغو و بررسی مصرف باید فعال شود.
دریافت کاربرگ CSV این راهنما — داده‌های داخل فایل نمونهٔ ساختگی‌اند. نسخهٔ اصلی را نگه دارید و برای آزمون خودتان یک کپی بسازید.
منبع و ادامهٔ کار
OWASP: مدیریت رازها. تاریخ بررسی منابع: ۱ نوامبر ۲۰۲۶.
اگر کاربرد شما پاسخ‌گویی به مشتری است، مسیر مرتبط اپرا را ببینید و مسئله و محدودیت‌های همین کاربرگ را برای بررسی در دمو همراه داشته باشید.