1. Secret Key'inizi Güvenli Bir Şekilde Saklayın

Secret Key'inizi Güvenli Bir Şekilde Saklayın

Secret Key Nedir?

SecretKey, sadece size özel tanımlanmış bir güvenlik anahtarıdır. API isteklerinin doğruluğunu ve kaynağını garanti altına almak için x_signature üretiminde kullanılır.

Bu anahtar, sisteminizin dış dünya ile kurduğu güvenlik katmanının temelidir. Sadece backend tarafında kullanılmalı, hiçbir şekilde istemciye (mobil, web, tarayıcı) sızdırılmamalıdır.

Kullanım Amacı

• İsteklerin bütünlüğünü ve kaynağını doğrulamak

• Replay ve manipülasyon girişimlerine karşı sunucu tarafı güvenlik

• Tek seferlik imza üretimi (timestamp + nonce ile)

En İyi Uygulamalar

Saklama

• Güvenli bir secret manager kullanın (Vault, AWS Secrets Manager, Azure Key Vault vb.)

• Geliştirme ortamlarında environment variable tercih edin (ROOFVPOS_SECRET_KEY)

• Config dosyalarında düz metin olarak tutmayın; şifreleyin

• Erişimi sadece gerekli servislerle sınırlandırın (Least Privilege)

Kullanım

• Belleğe sadece işlem süresince alın; loglamayın.

• İmza üretiminde HTTP Body’yi olduğu gibi kullanın (whitespace dahil).

• Her istekte zaman damgası ve nonce ile tekil imza üretin.

Rotasyon ve Olay Yönetimi

• Anahtarı düzenli aralıklarla yenileyin (örn. her 60–90 gün).

• Sızıntı şüphesinde: anında rotasyon + erişim iptali + audit süreci başlatın.

🚫 Kaçınılması Gerekenler

• Kaynak kod içine hardcode etmek.

• Loglara, hata mesajlarına veya metriklere yazmak.

• URL parametresiyle taşımak.

• E-posta, sohbet vb. kanallarda paylaşmak.

---

Örnek Secret Key :

bfc0ada8-42e8-41fb-9e18-c4f11da6a935