google-maps - generar - google maps api key gratis 2018

¿Qué pasos debo tomar para proteger mi clave API de Google Maps? (5)

Obtuve una clave API de Google Maps para mi dominio.

Los ejemplos proporcionados cuando obtuve mi clave muestran la clave incorporada en los parámetros de solicitud, por ejemplo:

<script src="http://maps.google.com/maps?file=api&v=2&sensor=true_or_false&key=my-key" type="text/javascript"></script>

Aprecio que el campo de referencia en las solicitudes debe coincidir con mi dominio, ¿es seguro hacer que mi clave sea visible en las etiquetas de script y demás? ¿O hay algún otro paso que deba tomar?

Aunque esta pregunta tiene algunos años, es muy buena. Según entiendo, exponer las claves de API, incluso si son de dominio coincidente, aún podría conducir a abuso. Hay una publicación en Security Stack Exchange aquí que cubre esto con más detalle.

Los pasos que puede seguir para evitar posibles abusos han sido publicados por Google aquí:

Guía de mejores prácticas para usar de manera segura las API: https://support.google.com/cloud/answer/6310037?hl=en

Aunque recomendaría tener todo esto en cuenta, hay un enfoque que trataría con el ejemplo específico publicado por Brabster y que es almacenar la clave en una variable de entorno . De esta forma, todo lo que necesita hacer es sustituir la clave por una variable del lado del servidor que está almacenada dentro de su proyecto. Sin embargo, asegúrese de no comprometer el archivo que almacena la clave en un repositorio público.

Debe usar el lado posterior / servidor para proteger y manejar la clave. En mi caso, utilicé el lado del servidor f / w Django, que puede servir una llamada ajax para obtener la clave del script / db del servidor y luego pasarla a google api.

Existe una configuración en la consola API de Google que puede proteger el uso de banda ancha de la API para que no se use con otro dominio / usuario. Puede restringir y proteger eso al usar referrer en la consola API. API Key rechazará las solicitudes sin referencias que coincidan con sus restricciones.

Aquí hay una captura de pantalla de Google para la clave de API que solo puede usar Google para analizar sus dos dominios.

No veo por qué te molestarías. ¿La clave no es válida solo desde tu dominio? IIRC, la única información codificada en él es su nombre de dominio, además de cualquier información que Google pueda agregar, como la hora en que se generó.

Teniendo en cuenta que la clave debe incluirse en las etiquetas <script> de sus páginas HTML, para cargar los archivos / datos JS de los servidores de Google, no hay nada que pueda hacer:

debes ponerlo en tus archivos HTML
todos pueden echarle un vistazo.

Aún así, realmente no importa: si alguien intenta usar esta clave en otro dominio que no sea el suyo, recibirá una alerta de Javascript, lo que no es bueno para los demás usuarios.

Asi que :

No hay nada que puedas hacer ; Así es como funciona
Y no hay mucho de lo que debas preocuparte, diría yo.