API secret, kullanıcı adı ile şifre çiftindeki "şifre" gibidir. API anahtarı kim olduğunuzu söyler; secret ise bunu kanıtlar. İkisi birlikte kullanılır. Anahtar bazı loglarda ya da adreslerde görünebilir, ama secret yalnız güvenli bir yerde saklanmalıdır.
Platformlarda secret nerede kullanılır?
| Platform | Secret'ın adı | Kullanım biçimi |
|---|---|---|
| Trendyol | API Secret | Basic Auth başlığında şifre olarak |
| N11 | App Secret | REST başlığında; SOAP isteklerinde auth bloğunda |
| WooCommerce | Consumer secret | Basic Auth başlığında şifre olarak |
| Pazarama | API Secret | Erişim belirteci alınırken Basic Auth ile |
| Etsy | Shared secret | Uygulama anahtarıyla birlikte x-api-key başlığında |
Bu tablo Saystok'un bu platformlara bağlanan kodundaki kullanıma dayanır. Pazarama ve ikas gibi platformlarda secret doğrudan istekte değil, önce kısa ömürlü bir access token almak için kullanılır.
Secret sızarsa ne olur?
Secret'ı ele geçiren biri, mağazanız adına API isteği gönderebilir. Stokları sıfırlayabilir, fiyatları değiştirebilir ya da sipariş ve müşteri verisini okuyabilir. Bu yüzden şüphe anında ilk iş, secret'ı pazaryeri panelinden yenilemektir. Yenileme sonrası eski değer çalışmaz; bağlı yazılımlara yenisini girmeniz gerekir.
Güvenli saklama kuralları
- Secret'ı e-postayla, mesajlaşma uygulamasıyla ya da ekran görüntüsüyle göndermeyin.
- Kaynak koduna, Excel dosyasına ya da paylaşılan dokümana yazmayın.
- Yazılım tarafında ortam değişkeninde ya da şifreli olarak saklayın.
- Her entegrasyon için mümkünse ayrı hesap ya da ayrı anahtar kullanın; biri sızarsa yalnız onu iptal edersiniz.
- Çalışan ya da ajans değiştiğinde secret'ı yenileyin.
Basic Auth ile ilişkisi
Birçok pazaryeri API anahtarı ile secret'ı Basic Auth yöntemiyle taşır. Bu yöntemde ikisi birleştirilip base64 ile kodlanır. Base64 şifreleme değildir; herkes geri çözebilir. Güvenliği sağlayan, isteğin HTTPS ile şifreli kanaldan gitmesidir.
Saystok, girdiğiniz API bilgilerini veritabanında AES-256-GCM ile şifreli tutar; ayrıntı için veri şifreleme maddesine bakın.