API Key Nedir?

API Key Nedir?

API key, bir API çağrısını yapan uygulamayı, geliştiriciyi veya müşteriyi tanımlamak için kullanılan benzersiz anahtardır. Genellikle HTTP header içinde gönderilir ve API tarafında hangi plana, kotaya veya erişim hakkına ait olduğu kontrol edilir.

API key çoğu zaman “kim bu isteği gönderiyor?” sorusuna cevap verir; “hangi son kullanıcı adına işlem yapıyor?” sorusunu tek başına güvenli biçimde çözmez. Bu nedenle kullanıcı yetkilendirmesi gereken senaryolarda OAuth2 veya token tabanlı akışlar tercih edilir.

Nasıl Kullanılır?

• Sunucu-sunucu entegrasyonlarında X-API-Key veya Authorization header’ı ile gönderilebilir.
• Anahtarlar ortam değişkeni veya secret manager içinde saklanmalıdır.
• Gerektiğinde IP, domain, referrer veya endpoint kapsamıyla sınırlandırılmalıdır.
• Düzenli rotasyon, sızıntı durumunda hızlı iptal ve kullanım logları planlanmalıdır.

Güvenlik Dikkatleri

API key tarayıcı tarafındaki JavaScript içine gömülürse kullanıcı tarafından görülebilir. Mobil uygulamalarda da anahtarın tamamen gizli kalacağı varsayılmamalıdır. Bu yüzden hassas işlemler backend proxy, kısa ömürlü token veya imzalı istek gibi ek kontrollerle korunur.

JWT kullanıcı veya oturum bağlamı taşıyabilir; API key ise çoğu zaman uygulama kimliğini ve kullanım kotasını yönetir. İki mekanizma aynı sistemde farklı amaçlarla birlikte kullanılabilir.