Integralo nella tua app

Firma delle richieste

#Quando serve

Un'app senza un proprio backend deve includere la chiave nell'app, dove chiunque intercetti il traffico può leggerla. Attiva la firma delle richieste su quella chiave (Console → Chiavi API → Modifica → Firma delle richieste): ogni richiesta dovrà allora includere anche una firma creata con un segreto di firma separato, così la sola chiave sk- è inutile e una richiesta intercettata non può essere riprodotta.

#I tre header

Continua a inviare Authorization come prima e aggiungi tre header. Il testo firmato è composto da timestamp, nonce, metodo HTTP e percorso (senza query string) uniti da a capo; la chiave HMAC è il segreto sig_… esattamente come mostrato nella console.

headers

X-Timestamp: 1759312345        # unix seconds, within 5 minutes of server time
X-Nonce:     9f2c4e7a1b3d5f60  # 16-128 chars of A-Z a-z 0-9 - _, new for every request
X-Signature: hex(HMAC-SHA256(secret, "1759312345\n9f2c4e7a1b3d5f60\nPOST\n/v1/images/tasks"))

#Firma una richiesta

sign.dart

import 'dart:convert';
import 'dart:math';
import 'package:crypto/crypto.dart';

const apiKey = 'sk-YOUR_KEY';
const signingSecret = 'sig_YOUR_SIGNING_SECRET';
int clockOffset = 0; // server time - device time, from X-Server-Timestamp

Map<String, String> signedHeaders(String method, String path) {
  final ts = (DateTime.now().millisecondsSinceEpoch ~/ 1000 + clockOffset).toString();
  final random = Random.secure();
  final nonce = List.generate(16, (_) => random.nextInt(256).toRadixString(16).padLeft(2, '0')).join();
  final signature = Hmac(sha256, utf8.encode(signingSecret))
      .convert(utf8.encode('$ts\n$nonce\n$method\n$path'))
      .toString();
  return {
    'Authorization': 'Bearer $apiKey',
    'X-Timestamp': ts,
    'X-Nonce': nonce,
    'X-Signature': signature,
  };
}

// headers: signedHeaders('POST', '/v1/images/tasks')
// GET /v1/images/tasks/{id} is signed with its own path, e.g. '/v1/images/tasks/task_123'

sign.mjs

import crypto from "node:crypto";

const ts = Math.floor(Date.now() / 1000).toString();
const nonce = crypto.randomBytes(16).toString("hex");
const signature = crypto
  .createHmac("sha256", process.env.SIGNING_SECRET)
  .update(`${ts}\n${nonce}\nPOST\n/v1/images/tasks`)
  .digest("hex");

await fetch("https://www.aisplice.store/v1/images/tasks", {
  method: "POST",
  headers: {
    Authorization: "Bearer sk-YOUR_KEY",
    "Content-Type": "application/json",
    "X-Timestamp": ts,
    "X-Nonce": nonce,
    "X-Signature": signature,
  },
  body: JSON.stringify(payload),
});

#Errori e regole

Le richieste rifiutate rispondono 401 con error.code signature_required, signature_expired, signature_invalid o signature_replayed.
signature_expired restituisce anche X-Server-Timestamp. I telefoni con l'orologio sbagliato dovrebbero salvare la differenza, aggiungerla a ogni timestamp e riprovare una volta con un nuovo nonce.
I nuovi tentativi richiedono un nuovo nonce e una nuova firma; un nonce viene ricordato per 10 minuti.
Sostituire il segreto nella console disattiva quello vecchio entro 30 secondi. Disattivare e riattivare la firma mantiene lo stesso segreto.
La firma protegge dal traffico intercettato, non da chi decompila l'app. Offusca la build (Flutter: --obfuscate) e mantieni un tetto di quota sulla chiave.

Non hai ancora risolto?

Inviaci l'ID richiesta o il messaggio di errore e verificheremo.

PrecedenteAbbonamenti Xsolla SuccessivoCallback dei risultati