Authentification
Livepeer API utilise des clés API pour vérifier et autoriser les requêtes. Vous pouvez gérer et examiner vos clés API via Livepeer Studio. Vous devez transmettre votre clé API dans le “Authorization en-tête avec un “Bearer préfixe lors de l’envoi d’une requête.
Authorization: Bearer YOUR_API_KEY
Clés CORS activées
Please read the below documentation in its entirety before using CORS-enabled API keys. There is a different security model for CORS keys.
Sécurité avec les clés CORS
Le modèle de sécurité est différent pour les clés API activées CORS. Puisqu’un utilisateur peut accéder à ces clés, les ID des actifs et des flux doivent être gardés secrets pour toute personne qui ne devrait pas avoir le contrôle administrateur sur ceux‑ci. Par exemple, un spectateur ne doit avoir accès qu’à l’ID de lecture, car connaître l’ID de l’actif (avec la clé API activée CORS, intégrée dans la page web) lui permet de modifier l’actif.
Il en va de même pour les flux – si un utilisateur a accès à un ID de flux avec la clé API CORS, il peut modifier le flux ou voir la clé du flux. Si un spectateur disposait de l’ID du flux + la clé API CORS, il pourrait détourner le flux. Un “playbackId ne doit être exposé au spectateur que.
Bonnes pratiques
- Utilisez les clés API backend par défaut - N’utilisez les clés activées CORS que lorsque c’est absolument nécessaire
- Ne jamais valider les clés API - Utilisez des variables d’environnement ou une gestion sécurisée des secrets
- Faire pivoter les clés régulièrement - Surtout si vous suspectez qu’une clé a été compromise
- Utilisez des clés séparées - Clés différentes pour les environnements de développement et de production
