תוכן עניינים

סקירה כללית ניהול סודות אבטחת רשת הגבלת קצב הצפנה ו־SSL כותרות אבטחה הגנה מפני DDoS תגובה לאירועים תאימות רשימת בדיקת אבטחה

תיעוד API

שיטות עבודה מומלצות לאבטחת API וחיזוק

יישום שיטות אבטחה מקיפות לשילוב Smart Money API. שליטה בניהול סודות, אבטחת רשת, הגבלת קצב ותאימות.

פורסם ב־21 במרץ 2026 • 19 דקות קריאה • קריטי

סקירת אבטחה

Smart Money API עוקב אחר שיטות העבודה המומלצות בתעשייה לאבטחה. מדריך זה מכסה את האחריות שלך בהגנה על השילוב שלך ונתוני המשתמשים.

שכבות אבטחה:

שכבת תעבורה — הצפנת TLS 1.3 לכל התעבורה
שכבת אימות — מפתחות API, OAuth 2.0, MFA
שכבת הרשאה — בקרת גישה מבוססת היקף
הגבלת קצב — הגנה מפני DDoS וניסיונות פריצה
הגנת נתונים — הצפנה במנוחה ובתעבורה

קריטי: לעולם אל תטמיע מפתחות API בקוד. השתמש במשתני סביבה או במערכות ניהול סודות.

ניהול סודות

שיטות עבודה מומלצות

אחסון במשתני סביבה, לא בקוד
השתמש במערכות ניהול סודות (Vault, AWS Secrets Manager)
סובב מפתחות על פי לוח זמנים (רבעוני לפחות)
בדוק יומני גישה באופן קבוע
סובב מפתחות שנפרצו מיידית
השתמש במפתחות שונים לסביבות שונות

יישום

טעינת מפתח API מאובטחת
// טען מסביבה, לא מקוד קשיח
const apiKey = process.env.SMARTMONEY_API_KEY;
if (!apiKey) throw new Error('API key not configured');
// השתמש בכותרות, אל תרשום ביומן
const headers = {
  'Authorization': `Bearer ${apiKey}`
};

קבל את מפתח ה־API שלך תוך 30 שניות

מוכן לבנות? קבל מפתח API חינם (100 קריאות/יום, ללא כרטיס) והתחל למשוך נתוני ליוויתנים, מימון ונתוני שרשרת חיים.

קבל את מפתח ה־API שלך →

אבטחת רשת

דרישות TLS/SSL

מינימום TLS 1.2 נדרש (מומלץ TLS 1.3)
אמת אישורי SSL בסביבת production
לעולם אל תבטל אימות אישורים
השתמש בצימוד אישורים לאפליקציות מובייל

רשימת IPs מורשים

הגדרת רשימת IPs מורשים
// הגבל גישת API לשרתים שלך
POST /v1/account/ip-whitelist
  -d '{
    "cidr": "203.0.113.0/24",
    "description": "Production servers"
  }'

הגבלת קצב ו־DDoS

יישום Backoff

Backoff מעריכי
// יישם backoff מעריכי על 429
async function apiCall(retries = 0) {
  try {
    return await fetch(url, options);
  } catch (err) {
    if (err.status === 429 && retries < 5) {
      const delay = Math.pow(2, retries) * 1000;
      await sleep(delay);
      return apiCall(retries + 1);
    }
    throw err;
  }
}

הצפנה ו־SSL/TLS

אימות אישורים

HTTPS מאובטח
// Node.js: אמת אישורים (התנהגות ברירת מחדל)
const https = require('https');
const agent = new https.Agent({
  rejectUnauthorized: true,  // אל תבטל לעולם!
  minVersion: 'TLSv1.2'
});

כותרות אבטחה

כותרות נדרשות

כותרת	מטרה
X-Request-ID	מעקב וביקורת
User-Agent	זיהוי היישום שלך
Accept	פורמט בקשת (application/json)
Authorization	פרטי אימות

הגנה מפני DDoS

ההגנה של Smart Money

הגנת DDoS של Cloudflare (שכבה 3/4 ושכבה 7)
הגבלת קצב לכל מפתח API
הגבלות קצב גיאוגרפיות
זיהוי ומיתון אוטומטי

האחריות שלך

יישם timeout לבקשות (30 שניות)
השתמש במאגר חיבורים
יישם דפוס מפסק חשמלי
עקוב אחר פעילות לא שגרתית

תגובה לאירועים

אם המפתח שלך נפרץ

מיידית — התקשר לנקודת הקצה לביטול מפתח API
בדוק יומנים — סקור יומני גישת API לשימוש לא מורשה
ביקורת — בדוק יתרה, עסקאות לפעילות חשודה
צור — צור מפתח API חדש
Deploy — עדכון האפליקציה עם מפתח חדש
Monitor — ניטור גישה לא מורשית מתמשכת

Compliance

עמידה בתקנים

SOC 2 Type II — בקרות אבטחה מאושרות
ISO 27001 — ניהול אבטחת מידע
GDPR — עמידה בתקנות פרטיות נתונים
PCI DSS — תקני תעשיית כרטיסי תשלום

רשימת בדיקות אבטחה

טרום-ייצור

מפתחות API במשתני סביבה, לא בקוד
HTTPS נאכף, אישורים מאומתים
הגבלת קצב ונסיגה מיושמים
סיבוב סודות מתוזמן רבעוני
כותרות אבטחה מוגדרות כראוי
רישום מוגדר (ללא פרטי התחברות)

ייצור מתמשך

ניטור יומני גישת API יומי
סובב מפתחות לפי לוח זמנים
הפעל ביקורת אבטחה רבעונית
עדכן תלות עבור פגיעויות
בדוק נהלי תגובה לאירועים
סקור ועדכן מדיניות אבטחה

האבטח את האינטגרציה שלך

אבטחה ברמת ארגון עבור Smart Money API. יישם שיטות עבודה מומלצות עם תיעוד מקיף ותמיכה.

צפה בתכונות אבטחה

כל התוכניות כוללות הצפנה, הגבלת קצב ורישום ביקורת.

משאבים קשורים

אימות מתקדם →

OAuth 2.0, JWT, דפוסי סיבוב מפתחות

מדריך הגבלת קצב →

נהל מכסות והגבלות קצב

ניטור →

ניטור אבטחה והתרעות