Встраивание в ваше приложение

Подпись запросов

#Когда это нужно

Приложению без собственного бэкенда приходится хранить ключ внутри, где его может прочитать любой, кто перехватит трафик. Включите для этого ключа подпись запросов (Консоль → API-ключи → Изменить → Подпись запросов): тогда каждый запрос должен содержать ещё и подпись, созданную отдельным секретом подписи, поэтому сам по себе ключ sk- бесполезен, а перехваченный запрос нельзя отправить повторно.

#Три заголовка

Продолжайте передавать Authorization, как раньше, и добавьте три заголовка. Подписываемый текст — метка времени, nonce, HTTP-метод и путь (без query-строки), соединённые переводами строки; ключ HMAC — секрет sig_… точно в том виде, в каком он показан в консоли.

headers

X-Timestamp: 1759312345        # unix seconds, within 5 minutes of server time
X-Nonce:     9f2c4e7a1b3d5f60  # 16-128 chars of A-Z a-z 0-9 - _, new for every request
X-Signature: hex(HMAC-SHA256(secret, "1759312345\n9f2c4e7a1b3d5f60\nPOST\n/v1/images/tasks"))

#Подпись запроса

sign.dart

import 'dart:convert';
import 'dart:math';
import 'package:crypto/crypto.dart';

const apiKey = 'sk-YOUR_KEY';
const signingSecret = 'sig_YOUR_SIGNING_SECRET';
int clockOffset = 0; // server time - device time, from X-Server-Timestamp

Map<String, String> signedHeaders(String method, String path) {
  final ts = (DateTime.now().millisecondsSinceEpoch ~/ 1000 + clockOffset).toString();
  final random = Random.secure();
  final nonce = List.generate(16, (_) => random.nextInt(256).toRadixString(16).padLeft(2, '0')).join();
  final signature = Hmac(sha256, utf8.encode(signingSecret))
      .convert(utf8.encode('$ts\n$nonce\n$method\n$path'))
      .toString();
  return {
    'Authorization': 'Bearer $apiKey',
    'X-Timestamp': ts,
    'X-Nonce': nonce,
    'X-Signature': signature,
  };
}

// headers: signedHeaders('POST', '/v1/images/tasks')
// GET /v1/images/tasks/{id} is signed with its own path, e.g. '/v1/images/tasks/task_123'

sign.mjs

import crypto from "node:crypto";

const ts = Math.floor(Date.now() / 1000).toString();
const nonce = crypto.randomBytes(16).toString("hex");
const signature = crypto
  .createHmac("sha256", process.env.SIGNING_SECRET)
  .update(`${ts}\n${nonce}\nPOST\n/v1/images/tasks`)
  .digest("hex");

await fetch("https://www.aisplice.store/v1/images/tasks", {
  method: "POST",
  headers: {
    Authorization: "Bearer sk-YOUR_KEY",
    "Content-Type": "application/json",
    "X-Timestamp": ts,
    "X-Nonce": nonce,
    "X-Signature": signature,
  },
  body: JSON.stringify(payload),
});

#Ошибки и правила

Отклонённые запросы получают 401 с error.code signature_required, signature_expired, signature_invalid или signature_replayed.
signature_expired также возвращает X-Server-Timestamp. Телефонам с неправильными часами стоит сохранить разницу, прибавлять её к каждой метке времени и один раз повторить запрос с новым nonce.
Для повторов нужны новый nonce и новая подпись; nonce запоминается на 10 минут.
После замены секрета в консоли старый перестаёт действовать в течение 30 секунд. Если выключить и снова включить подпись, секрет останется прежним.
Подпись защищает от перехвата трафика, но не от того, кто распакует приложение. Обфусцируйте сборку (Flutter: --obfuscate) и задайте для ключа предел квоты.

Проблема не решена?

Пришлите нам ID запроса или текст ошибки, и мы разберёмся.

НазадПодписки Xsolla ДалееВебхуки с результатом