Sécurité

Sécurité des clés API

Les clés API sont le principal moyen d'authentification auprès de l'API Apertur. Les garder en sécurité est essentiel pour protéger votre compte et les données de vos utilisateurs.

TOTP pour les clés API

Pour une couche de sécurité supplémentaire, vous pouvez exiger un mot de passe à usage unique basé sur le temps (TOTP) avec chaque requête API utilisant une clé spécifique.

1. Ouvrez les paramètres de votre clé API et cliquez sur Activer le TOTP.
2. Scannez le QR code avec votre application d'authentification (Google Authenticator, Authy, 1Password, etc.).
3. Entrez le code à 6 chiffres pour vérifier la configuration.
4. Dorénavant, incluez le code TOTP dans l'en-tête X-APTR-TOTP avec chaque requête.

Le nom de l'en-tête est X-APTR-TOTP. Les codes sont valides pendant 30 secondes avec une tolérance d'un pas de temps.

curl -X POST https://api.apertur.ca/v1/sessions \
  -H "Authorization: Bearer aptr_xxxx" \
  -H "X-APTR-TOTP: 123456" \
  -H "Content-Type: application/json" \
  -d '{ "delivery_mode": "webhook", "webhook_url": "https://..." }'

Certificats client (mTLS)

Le TLS mutuel (mTLS) fournit le plus haut niveau d'authentification API en exigeant un certificat client avec chaque requête, en plus de votre clé API.

1. Générez un certificat client et une clé privée (ou utilisez-en un émis par l'autorité de certification de votre organisation).
2. Téléversez le certificat dans les paramètres de votre clé API sous Certificats client.
3. Apertur validera le certificat à chaque requête.
4. Incluez à la fois le certificat et la clé lors de vos appels API (voir l'exemple ci-dessous).
5. Les requêtes sans certificat client valide seront rejetées avec une erreur 403.

# cURL with client certificate
curl -X POST https://api.apertur.ca/v1/sessions \
  --cert client.crt \
  --key client.key \
  -H "Authorization: Bearer aptr_xxxx" \
  -H "Content-Type: application/json" \
  -d '{ "delivery_mode": "webhook", "webhook_url": "https://..." }'

Mots de passe de session

Vous pouvez protéger des sessions de téléversement individuelles avec un mot de passe. Lorsqu'il est défini, les utilisateurs finaux doivent entrer le mot de passe avant de pouvoir téléverser des photos.

curl -X POST https://api.apertur.ca/v1/sessions \
  -H "Authorization: Bearer aptr_xxxx" \
  -H "Content-Type: application/json" \
  -d '{
    "delivery_mode": "webhook",
    "webhook_url": "https://your-app.com/webhook",
    "password": "claim-4521-pin"
  }'

Les mots de passe sont hachés à l'aide de bcrypt sur le serveur. Apertur ne stocke jamais les mots de passe en clair et ils ne peuvent pas être récupérés après la création.

SDK Origin Validation

When using the aptr-connect SDK, you can restrict which domains are allowed to use your public key by configuring allowed domains on your OAuth app. The server validates the Origin header of incoming requests against your allowed domains list.

Wildcards are supported: *.example.com matches any subdomain at any depth. Leave the list empty during development to allow all origins.

Configure allowed domains in your partner OAuth app settings.

Vérification des signatures de webhook

Chaque livraison de webhook inclut un en-tête X-APTR-Signature contenant une signature HMAC-SHA256 du corps de la requête. Vérifiez cette signature pour vous assurer que les données ont été envoyées par Apertur et n'ont pas été altérées.

const crypto = require("crypto");

function verifyWebhook(body, signatureHeader, secret) {
  const expected = "sha256=" +
    crypto.createHmac("sha256", secret)
      .update(body)
      .digest("hex");

  return crypto.timingSafeEqual(
    Buffer.from(expected),
    Buffer.from(signatureHeader)
  );
}

// In your Express handler:
app.post("/webhook", express.raw({ type: "*/*" }), (req, res) => {
  if (!verifyWebhook(req.body, req.headers["x-aptr-signature"], WEBHOOK_SECRET)) {
    return res.status(401).send("Invalid signature");
  }
  // Safe to process...
  res.status(200).end();
});

import hmac
import hashlib

def verify_webhook(body: bytes, signature: str, secret: str) -> bool:
    expected = "sha256=" + hmac.new(
        secret.encode(), body, hashlib.sha256
    ).hexdigest()
    return hmac.compare_digest(expected, signature)

Sécurité du compte

Au-delà de la sécurité des clés API, protégez votre compte Apertur lui-même avec ces mesures.