مفاتيح API داخل تطبيق الجوال: ليش أي مفتاح في التطبيق يعتبر مكشوفاً؟

تطبيقك منشور في المتاجر، وأي شخص يقدر ينزّله. والملف اللي ينزل على جواله فيه كل ما وضعته داخل التطبيق: النصوص، الروابط، والمفاتيح. التشفير البسيط والتشويش يبطّئ الفضولي، لكنه ما يوقف شخصاً مصمماً. القاعدة اللي تريحك: أي سر داخل التطبيق اعتبره منشوراً.

وش يصير لو انكشف مفتاح سري؟

• مفتاح نموذج ذكاء اصطناعي: أحد يستخدمه لأغراضه والفاتورة عليك.
• مفتاح خدمة الرسائل النصية: يرسل آلاف الرسائل من حسابك.
• مفتاح قاعدة بيانات بصلاحيات كاملة: يقرأ ويحذف بيانات كل المستخدمين.
• مفتاح بوابة الدفع السري: يستعلم عن العمليات أو ينفذ استرداداً.
• مفتاح التخزين السحابي: يرفع ملفات أو يسحب ملفات عملائك.

مفتاح عام ومفتاح سري: فرق جوهري

بعض الخدمات تعطيك نوعين. المفتاح العام مصمم ليكون في التطبيق، مثل مفتاح الخرائط أو المفتاح المنشور لبوابة الدفع، وأمانه يعتمد على قيود تضعها أنت: حصره على معرّف تطبيقك أو نطاق موقعك. المفتاح السري مكانه السيرفر فقط، دائماً. قبل ما تضع أي مفتاح، اقرأ توثيق الخدمة: هل هو مصمم للعميل أو للسيرفر؟

النمط الصحيح: التطبيق يطلب، السيرفر ينفذ

بدل ما التطبيق يتصل بخدمة الذكاء الاصطناعي مباشرة بمفتاحك، يتصل بسيرفرك. سيرفرك يتحقق من المستخدم، يطبق الحدود، ثم يتصل بالخدمة بالمفتاح المحفوظ عنده. نفس الشيء للرسائل والدفع والتخزين. هذا يضيف طبقة، لكنه يعطيك ثلاث فوائد: السر ما يطلع، تقدر تحد الاستخدام لكل مستخدم، وتقدر تغيّر المفتاح بدون تحديث التطبيق.

قواعد البيانات من التطبيق مباشرة

خدمات مثل Firebase و Supabase تسمح للتطبيق يتصل بقاعدة البيانات مباشرة بمفتاح عام. هذا مقبول بشرط واحد لا يُتنازل عنه: قواعد الوصول مكتوبة ومختبرة. كل جدول يحدد مين يقرأ ومين يكتب. قاعدة بيانات بمفتاح عام وقواعد مفتوحة تعني إن بيانات كل مستخدميك متاحة لأي أحد عنده التطبيق.

لا تنسَ مستودع الكود

• المفاتيح ما تُكتب في الكود، تُحفظ في متغيرات بيئة أو خزنة أسرار.
• ملفات الإعدادات السرية مضافة لـ gitignore من أول يوم.
• لو انرفع مفتاح للمستودع ولو لدقيقة، اعتبره مكشوفاً وغيّره، حذف الـ commit ما يكفي.
• مفاتيح مختلفة لبيئة التطوير والإنتاج.

لو انكشف مفتاح فعلاً

• أنشئ مفتاحاً جديداً وألغِ القديم فوراً من لوحة الخدمة.
• راجع سجل الاستخدام والفواتير للأيام الماضية.
• انقل الاستدعاء للسيرفر قبل ما تصدر التحديث القادم.
• فعّل تنبيهات الإنفاق والحدود القصوى في الخدمة.

طبقات إضافية تبطّئ العابثين

بعد ما تنقل الأسرار للسيرفر، فيه طبقات تزيد صعوبة إساءة استخدام الـ API من خارج تطبيقك الحقيقي. ما وحدة منها حل كامل، لكن مجتمعة ترفع التكلفة على المهاجم:

• خدمات التحقق من سلامة التطبيق مثل App Attest في آبل و Play Integrity في جوجل، تساعد السيرفر يعرف إن الطلب من نسخة أصلية.
• تشويش الكود عند بناء نسخة الإنتاج في Flutter، يصعّب قراءة منطق التطبيق.
• حدود استخدام لكل مستخدم ولكل جهاز على السيرفر.
• مراقبة الاستخدام غير الطبيعي، مثل آلاف الطلبات من حساب واحد.
• تنبيهات الميزانية في كل خدمة مدفوعة.

لو استلمت تطبيقاً من مطوّر سابق

افترض إن كل مفتاح في المشروع معروف لأكثر من شخص. أول خطوة بعد الاستلام: قائمة بكل الخدمات الخارجية المستخدمة، ثم تدوير كل المفاتيح السرية وإنشاء مفاتيح جديدة من حساباتك أنت، ثم مراجعة قواعد الوصول في قاعدة البيانات. هذا ما يعني اتهام المطوّر السابق بشيء، هو ببساطة تنظيف طبيعي عند انتقال أي مشروع.

افحص تطبيقك كما يفحصه غيرك

اطلب من مطوّرك أو من مختص يأخذ نسخة التطبيق المنشورة في المتجر، ويبحث داخلها عن أي نصوص تشبه المفاتيح أو روابط خدمات داخلية. هذا الفحص البسيط يكشف في وقت قصير مفاتيح نسيها أحد في ملف إعدادات. وكرره قبل كل إصدار كبير، أو أضفه كخطوة آلية في مسار النشر.

في منصة أزهل الرقمية نبني تطبيقات Flutter للآيفون والأندرويد مع لوحة تحكم وسيرفر، والأسعار المعلنة تبدأ من ٣٠٠٠ ريال حسب النطاق، والأسرار فيها مكانها السيرفر مو التطبيق. لو عندك تطبيق تشك في مفاتيحه، تواصل على واتساب.