Best Practices für die Verwaltung von API-Geheimschlüsseln

API-Geheimschlüssel sind eine Form von Anmeldedaten für Konten, wie ein Benutzername und ein Passwort. Im Gegensatz zu veröffentlichbaren Schlüsseln, die sicher in Webseiten und Apps aufgenommen werden können, müssen Sie API-Geheimschlüssel auf Ihre Server-Umgebung beschränken und vor Offenlegung schützen. Wenn böswillige Akteurinnen oder Akteure in den Besitz Ihres Geheimschlüssels kommen, können sie Ihrem Unternehmen und anderen Parteien im Stripe-Ökosystem damit Schaden zufügen.

Sie müssen Ihre API-Geheimschlüssel sicher aufbewahren. Befolgen Sie diese Best Practices und nutzen Sie die von Stripe angebotenen Sicherheitsfunktionen.

Schutz vor kompromittierten geheimen API-Schlüsseln

Ergreifen Sie die folgenden Maßnahmen, um Schlüssellecks zu verhindern und Ihre Schlüssel zu sichern:

• Verwenden Sie sichere Schlüsselverwaltungssysteme (KMS), um Geheimschlüssel zu speichern: Wenn Sie einen Geheimschlüssel live über das Stripe Dashboard erstellen, sehen Sie ihn nur ein einziges Mal. Kopieren Sie den Schlüssel sofort in ein KMS, das sensible Daten mit Verschlüsselung und Zugriffskontrolle verwaltet. Stellen Sie sicher, dass Sie keine Kopie des Schlüssels im Quellcode Ihrer Anwendung oder anderen lokalen Dateien hinterlassen.
• Gewähren Sie nur Personen Zugriff, die ihn benötigen. Definieren Sie in Ihrer Richtlinie deutlich, welche Nutzer/innen die Berechtigung zum Erstellen, Aktualisieren oder Lesen von Schlüsseln haben. Beschränken Sie den Zugriff auf diejenigen, die ihn benötigen. Überprüfen Sie Schlüsselberechtigungen und Zugriffs-Logs regelmäßig, um unnötig weitreichende Rechte zu vermeiden.
• Teilen Sie Geheimschlüssel niemals auf unsicheren Weise. Geben Sie Geheimschlüssel niemals in E-Mails, Chat-Nachrichten oder Nachrichten an den Kundensupport weiter. Stripe fragt Sie niemals nach Ihrem API-Geheimschlüssel.
• Speichern Sie keine Schlüssel in Quellcode-Repositorys (wie GitHub): Personen mit betrügerischer Absicht scannen öffentliche Quellcode-Repositorys nach API-Schlüsseln. Übergeben Sie Ihren Geheimschlüssel deshalb niemals. Auch wenn Ihr Quellcode-Repository privat ist, befinden sich Kopien des Codes möglicherweise in der Entwicklungsumgebung der Teammitglieder, wo eine kompromittierte Anwendung sie auslesen könnte.
• Betten Sie Geheimschlüssel nicht in Anwendungen ein: Personen mit betrügerischen Absichten können sich Zugang zu Geheimschlüsseln verschaffen, indem sie bestimmte Zeichenfolgenmuster in der Anwendung abgleichen. Vermeiden Sie daher das Einbetten von Geheimschlüsseln in Anwendungen wie Client-Tools, SDKs und mobile Apps. Betten Sie stattdessen veröffentlichbare Schlüssel ein, die für solche Anwendungsszenarien vorgesehen sind.
• Rotieren Sie Ihre API-Schlüssel regelmäßig: Legen Sie einen Prozess zum Rotieren Ihrer Stripe-API-Schlüssel fest und halten Sie ihn ein. So haben Sie einen besseren Überblick, wo Ihre Schlüssel verwendet werden, und Ihr Unternehmen ist für den Fall der Kompromittierung Ihres API-Schlüssels vorbereitet. Wenn Sie einen Prozess zum Rotieren von Schlüsseln eingerichtet haben, können Sie auf eine Kompromittierung Ihres API-Schlüssels mit minimalen Auswirkungen auf Ihr Unternehmen reagieren.
• Prüfen Sie die Logs von API-Anfragen, um verdächtige Aktivitäten zu überwachen. Prüfen oder überwachen Sie die Logs von API-Anfragen regelmäßig, um missbräuchlich verwendete API-Schlüssel proaktiv zu identifizieren. Stellen Sie sicher, dass Ihre Entwickler/innen keine Live-Schlüssel verwenden, wenn ein Sandbox-Schlüssel angemessen ist. Erfahren Sie mehr unter Sandbox versus Live-Modus.
• Halten Sie Ihre Schulungen und Ihre Dokumentation auf aktuellem Stand: Halten Sie die Dokumentation zum Umgang mit API-Geheimschlüsseln in Ihrem Unternehmen stets auf dem neuesten Stand. Führen Sie regelmäßig Schulungen durch, damit Best Practices sicher befolgt werden.

API-Zugriff mit eingeschränkten API-Schlüsseln anpassen

Sie können eingeschränkte API-Schlüssel erstellen, um eingeschränkten Zugriff auf die Stripe-API zu gewähren. Das Teilen eingeschränkter Schlüssel ist sicherer als das Teilen Ihres Geheimschlüssels.

Mit eingeschränkten Schlüsseln können Sie die potenziellen Auswirkungen einer Kompromittierung begrenzen. Wenn Sie beispielsweise einem Drittanbieter, der angefochtene Zahlungen überwacht, einen Stripe-API-Schlüssel geben möchten, können Sie mit einem eingeschränkten Schlüssel schreibgeschützten Zugriff auf angefochtene Zahlungen in Ihrem Stripe-Konto gewähren. Alles andere bleibt blockiert. Würde der Schlüssel bei einem Angriff auf den Drittanbieter gestohlen, wären auch die böswilligen Akteurinnen und Akteure auf diese API-Aufrufe beschränkt.

IP-Adressen beschränken, die API-Anfragen senden können

Sie können die Sicherheit eines geheimen oder eingeschränkten Schlüssels erhöhen, indem Sie die IP-Adressen einschränken, die ihn zum Senden von API-Anfragen verwenden können. Dies wird empfohlen, wenn Ihr Dienst über stabile IP-Bereiche für ausgehenden Datenverkehr und einen Änderungsverwaltungsprozess zum Aktualisieren der Zulassungsliste verfügt, wenn sich diese Ausgangsbereiche ändern.

Anweisungen zum Beschränken eines Schlüssels auf eine oder mehrere IP-Adressen finden Sie unter Beschränken von geheimen oder eingeschränkten Schlüsseln auf eine Liste oder einen Bereich von IP-Adressen.

Umgang mit kompromittierten geheimen API-Schlüsseln

Wenn Sie feststellen, dass ein API-Geheimschlüssel kompromittiert wurde, z. B. durch versehentliche Veröffentlichung auf GitHub, rotieren Sie den Schlüssel sofort über das Stripe-Dashboard und ersetzen Sie den alten Schlüssel in Ihrer Integration. Wenn Sie abnormales Verhalten, aber keine Kompromittierung des API-Schlüssels feststellen, sollten Sie die API-Schlüssel proaktiv rotieren und gleichzeitig der Ursache nachgehen.

Wenn Stripe die Offenlegung eines API-Geheimschlüssels feststellt, benachrichtigen wir Sie sofort und fordern Sie auf, Ihren Schlüssel zu rotieren. Sie müssen umgehend handeln, um mögliche Schäden und finanzielle Verluste durch die unbefugte Nutzung des kompromittierten Schlüssels vor dessen Deaktivierung zu verringern. In einigen Fällen können wir beschließen, den Schlüssel proaktiv zu deaktivieren. In diesem Fall benachrichtigen wir Sie über alle Maßnahmen, die wir ergreifen.

Stripe garantiert nicht, dass wir alle kompromittierten Schlüssel erkennen. Sie sind selbst dafür verantwortlich, diese Best Practices zu befolgen, um die Kompromittierung von Schlüsseln zu verhindern und die Sicherheit Ihrer Integration mit Stripe sicherzustellen.