Migrar a Gestão de Chaves de API do HashiCorp Vault para o Didit (PT-PT)

Segurança Reforçada com Chaves DedicadasAs chaves de API da Didit são atribuídas a aplicações específicas, proporcionando controlo granular e minimizando o impacto em caso de comprometimento, uma melhoria significativa em relação às chaves genéricas de acesso total.

Integração SimplificadaA abordagem da Didit, focada no programador, garante que a integração da gestão de chaves de API seja simples, com documentação clara e uma opção de registo programático para automação máxima.

Gestão Centralizada de Fluxos de TrabalhoA API de Gestão da Didit permite a criação e modificação programáticas de fluxos de trabalho de verificação, indo além das configurações estáticas para processos de verificação de identidade dinâmicos e impulsionados por API.

Vantagem AI-Nativa da DiditA plataforma modular e AI-nativa da Didit simplifica a gestão de chaves de API, fornecendo uma solução segura, eficiente e escalável que se integra perfeitamente com práticas de segurança modernas, como o HashiCorp Vault para gestão de segredos.

O Desafio da Gestão de Chaves de API em Sistemas Modernos

No cenário digital interligado de hoje, as APIs são a espinha dorsal da maioria das aplicações, permitindo comunicação e troca de dados sem falhas. No entanto, esta dependência de APIs introduz um desafio de segurança crítico: a gestão de chaves de API. Métodos tradicionais frequentemente envolvem codificar chaves, armazená-las em variáveis de ambiente ou usar ficheiros de configuração básicos. Embora estas abordagens possam ser suficientes para pequenos projetos, rapidamente se tornam incontroláveis e inseguras à medida que as aplicações escalam, especialmente ao lidar com processos sensíveis de verificação de identidade.

Sistemas legados frequentemente têm dificuldades com a rotação de chaves, controlo de acesso e auditabilidade. Uma chave de API comprometida pode levar a acesso não autorizado, violações de dados e danos significativos à reputação. É aqui que entram em jogo soluções dedicadas de gestão de segredos como o HashiCorp Vault, oferecendo uma forma centralizada e segura de armazenar, aceder e gerir credenciais sensíveis. No entanto, mesmo com o Vault, a integração destas chaves numa plataforma de verificação de identidade ainda requer uma consideração cuidadosa de como a própria plataforma lida com a autenticação e autorização.

Migrar para uma plataforma de identidade mais robusta como a Didit significa reavaliar como as chaves de API são geridas. A abordagem da Didit à autenticação de API é projetada com a segurança e a experiência do programador em mente, tornando a transição mais suave e segura.

Compreender o Modelo de Autenticação de API da Didit

A Didit emprega um modelo de autenticação de API simples, mas seguro, centrado em chaves de API. Ao contrário de alguns sistemas que podem depender de fluxos OAuth complexos para comunicação servidor-a-servidor, a Didit simplifica isso usando uma única chave de API secreta por aplicação. Esta chave concede acesso total à API em nome da sua aplicação, tornando a sua gestão segura primordial.

Cada chave de API na Didit é restrita a uma 'Aplicação' específica dentro da sua conta. Uma Aplicação atua como um espaço de trabalho dedicado para um projeto ou ambiente específico, permitindo configurar fluxos de trabalho e gerir verificações de forma distinta. Esta restrição é uma vantagem de segurança significativa, pois compartimentaliza o acesso. Se a chave de uma aplicação for comprometida, ela não concede automaticamente acesso a todas as suas outras aplicações Didit.

Para recuperar a sua chave de API, basta iniciar sessão na Consola de Negócios Didit, selecionar a sua aplicação e navegar para 'API & Webhooks'. Aqui, a sua Chave de API e a Chave Secreta de Webhook são exibidas. A Didit avisa explicitamente os utilizadores para tratarem as chaves de API como palavras-passe, nunca as expondo em código frontend ou repositórios públicos. Isso enfatiza um modelo de uso apenas no lado do servidor, que é uma prática fundamental de segurança.

Autenticar pedidos com a Didit é tão simples como incluir a sua chave de API secreta no cabeçalho HTTP x-api-key. Por exemplo, criar uma sessão seria assim:

curl --request POST \
     --url https://verification.didit.me/v3/session/ \
     --header 'accept: application/json' \
     --header 'content-type: application/json' \
     --header 'x-api-key: YOUR_API_KEY' \
     --data '
{
  "workflow_id": "WORKFLOW_ID",
  "vendor_data": "USER_ID",
  "callback": "CALLBACK_URL"
}
'

A API da Didit também suporta autenticação via tokens Bearer obtidos de um fluxo client_credentials, oferecendo flexibilidade para diferentes padrões de integração.

Integrar Chaves de API da Didit com HashiCorp Vault

Para organizações que já utilizam o HashiCorp Vault para gestão de segredos, integrar as chaves de API da Didit neste ecossistema é um passo lógico e recomendado. O Vault oferece recursos robustos como segredos dinâmicos, renovações de arrendamento e políticas de controlo de acesso granular, que podem melhorar significativamente a postura de segurança da sua integração Didit.

Aqui está uma abordagem conceptual para integrar chaves de API da Didit com o Vault:

1. Armazenar Chave de API da Didit no Vault: Em vez de codificar a sua chave de API da Didit, armazene-a de forma segura num backend de segredos do Vault (por exemplo, motor de segredos Key-Value). Crie um caminho dedicado, como secret/didit/api-key, e armazene a sua chave lá.

2. Aceder à Chave a Partir de Aplicações: Configure a sua aplicação para recuperar a chave de API da Didit do Vault em tempo de execução. Isso pode ser feito usando as bibliotecas cliente do Vault, variáveis de ambiente (se estiver a usar o Vault Agent ou a integração Kubernetes), ou diretamente via API do Vault. Isso garante que a chave nunca seja persistida no seu código-fonte ou ficheiros de configuração.

3. Controlo de Acesso Baseado em Funções (RBAC): Defina políticas do Vault que concedam apenas às aplicações ou serviços necessários acesso à chave de API da Didit. Este princípio do menor privilégio garante que apenas entidades autorizadas possam recuperar a chave.

4. Rotação de Chaves: Embora as chaves de API da Didit não sejam geradas dinamicamente pelo Vault da mesma forma que as credenciais da base de dados poderiam ser, pode implementar uma estratégia de rotação de chaves manual ou semi-automatizada. Gere periodicamente uma nova chave de API na Consola de Negócios Didit, atualize-a no Vault e, em seguida, revogue a chave antiga. Isso reduz significativamente o risco associado a credenciais de longa duração.

Ao usar o Vault, centraliza a gestão das suas chaves de API da Didit, obtém capacidades de auditoria sobre o acesso às chaves e impõe políticas de acesso rigorosas, contribuindo tudo para uma infraestrutura de verificação de identidade mais segura.

Além da Autenticação: Gerir Fluxos de Trabalho Didit Programaticamente

A API de Gestão da Didit vai além da mera autenticação para permitir um controlo programático abrangente sobre os seus fluxos de trabalho de verificação. Este é um recurso poderoso para organizações que exigem abordagens dinâmicas de infraestrutura como código para os seus processos de verificação de identidade. Em vez de configurar manualmente fluxos de trabalho na consola, pode defini-los e geri-los diretamente através de chamadas de API.

Por exemplo, pode usar a API de Gestão para:

• Criar Fluxos de Trabalho: Definir novos fluxos de trabalho de verificação com recursos específicos como Verificação de ID (OCR), Liveness Passivo e Ativo, Correspondência Facial 1:1 e Triagem AML. Isso permite adaptar fluxos de trabalho a diferentes casos de uso ou segmentos de utilizadores programaticamente.
• Atualizar Fluxos de Trabalho: Modificar fluxos de trabalho existentes, ajustando limites, ativando ou desativando recursos, ou alterando tipos de documentos aceites sem intervenção manual.
• Listar e Obter Fluxos de Trabalho: Recuperar detalhes sobre todos os seus fluxos de trabalho configurados, o que é essencial para auditoria e para garantir consistência entre ambientes.

Este controlo programático alinha-se perfeitamente com as práticas modernas de DevOps. Imagine um cenário em que um novo lançamento de produto exige um fluxo KYC ligeiramente diferente. Em vez de configuração manual, pode implementar uma nova definição de fluxo de trabalho através do seu pipeline CI/CD, garantindo consistência e reduzindo o erro humano. Este nível de automação, facilitado pelo design API-first da Didit, é uma vantagem significativa sobre plataformas que dependem fortemente de interações manuais na consola.

A capacidade de gerir fluxos de trabalho, questionários e dados do utilizador através de chaves de API significa que toda a sua pilha de verificação de identidade pode ser tratada como código, controlada por versão e implementada com confiança.

Como a Didit Ajuda

A Didit foi projetada desde o início para ser uma plataforma de identidade AI-nativa e focada no programador, tornando a gestão de chaves de API e a integração geral contínuas e seguras. A nossa arquitetura modular permite-lhe ligar e usar várias verificações de identidade, desde Verificação de ID (OCR, MRZ, códigos de barras) e Liveness Passivo e Ativo até Triagem e Monitorização AML e Verificação NFC. Esta modularidade significa que apenas ativa os recursos de que precisa para cada fluxo de trabalho, melhorando tanto a segurança quanto a eficiência de custos.

A oferta de KYC Básico Gratuito da Didit permite que as empresas comecem a verificar identidades sem custos iniciais, demonstrando o nosso compromisso com a acessibilidade. Para a gestão de chaves de API, a Didit simplifica o processo, fornecendo mecanismos de autenticação claros e tornando as chaves de API restritas à aplicação. Embora enfatizemos o tratamento dessas chaves com o máximo cuidado, a sua emissão estruturada e documentação clara tornam-nas fáceis de integrar com soluções de gestão de segredos como o HashiCorp Vault.

A API de Gestão oferece um controlo sem precedentes, permitindo criar e gerir fluxos de trabalho, questionários e dados do utilizador programaticamente. Isso significa que as suas estruturas de segurança e conformidade podem ser automatizadas e integradas na sua infraestrutura existente, reduzindo o trabalho manual e o erro humano. Com a Didit, não está apenas a obter um serviço de verificação de identidade; está a adotar uma camada de identidade aberta e modular projetada para escala global e confiança automatizada.

Pronto para Começar?

Pronto para ver a Didit em ação? Obtenha uma demonstração gratuita hoje.

Comece a verificar identidades gratuitamente com o nível gratuito da Didit.