html - puntos - ¿Cómo uso de forma segura las claves API de Google?
seo html (2)
Así que estoy usando la API de Google Maps en mi primer proyecto que estoy haciendo ... Entonces, sí, soy nuevo y lo siento si esto es básico u obvio, pero no he podido encontrar una respuesta o dirección clara. A continuación se muestra la documentación que encontré de Google sobre el uso seguro de la clave API.
Mejores prácticas para usar de forma segura las claves API
Cuando use claves API en sus aplicaciones, tenga cuidado de mantenerlas seguras. Exponer públicamente sus credenciales puede hacer que su cuenta se vea comprometida, lo que podría generar cargos inesperados en su cuenta. Para mantener sus claves API seguras, siga estas mejores prácticas:
No incruste las claves API directamente en el código: las claves API que están incrustadas en el código pueden exponerse accidentalmente al público, por ejemplo, si olvida eliminar las claves del código que comparte. En lugar de incrustar sus claves API en sus aplicaciones, almacénelas en variables de entorno o en archivos fuera del árbol de origen de su aplicación. No almacene claves API en archivos dentro del árbol fuente de su aplicación: si almacena claves API en archivos, mantenga los archivos fuera del árbol fuente de su aplicación para asegurarse de que sus claves no terminen en su sistema de control de código fuente. Esto es particularmente importante si utiliza un sistema de administración de código fuente público como GitHub. Restrinja sus claves de API para que solo las usen las direcciones IP, las URL de referencia y las aplicaciones móviles que las necesiten: al restringir las direcciones IP, las URL de referencia y las aplicaciones móviles que pueden usar cada clave, puede reducir el impacto de una API comprometida llave. Puede especificar los hosts y las aplicaciones que pueden usar cada clave desde la consola abriendo la página Credenciales y luego creando una nueva clave API con la configuración que desee o editando la configuración de una clave API. Eliminar claves API innecesarias: para minimizar su exposición al ataque, elimine las claves API que ya no necesita. Regenere sus claves API periódicamente: puede regenerar las claves API desde la página de Credenciales de la Consola de la Plataforma de la Nube haciendo clic en Regenerar clave para cada clave. Luego, actualice sus aplicaciones para usar las claves recién generadas. Sus claves antiguas continuarán funcionando durante 24 horas después de que genere claves de reemplazo. Revise su código antes de publicarlo públicamente: asegúrese de que su código no contenga claves API ni ninguna otra información privada antes de hacer que su código esté disponible públicamente.
Ahora mi problema es que no puedo entender cómo incorporar el Mapa de Google en mi sitio web sin ponerlo directamente en el código. En este momento mi API está en mi index.html de esta manera:
<script async defer
src="https://maps.googleapis.com/maps/api/js?key=YOUR_API_KEY&callback=initMap">
</script>
Pero nuevamente, esto está directamente en mi código para que el mundo vea cuál creo que es el camino equivocado.
El artículo sobre las mejores prácticas de la clave API al que se refiere solo proporciona pautas generales para el uso de claves API, y con ciertas API orientadas al usuario final, como la API JavaScript de Google Maps, no puede evitar exponer la clave API al usuario final.
Por lo tanto, en una aplicación pública de la API de JavaScript de Maps, se recomienda encarecidamente agregar una restricción de referencia a cualquier clave utilizada en un sistema de producción, especialmente las de acceso público, y solo autorizar el dominio, el host o incluso la URL del archivo completo de su aplicación.
Cuando cree su clave en la Consola API de Google y elija las credenciales configuradas para la API JavaScript de Maps, el asistente le indicará cómo proteger la clave y le solicitará las URL que desea autorizar.
Para la versión 3 del API de JavaScript de Google Maps, las claves deben ser públicas en su página. El texto aplicable es:
Restrinja sus claves API para que sean utilizadas solo por las direcciones IP, las URL de referencia y las aplicaciones móviles que las necesitan
Vaya a la Consola API de Google y genere una clave, restringiéndola a las URL que posee (o desea colocar mapas) para evitar el "robo" de cuotas.