セキュリティ

実際の体制を一覧で。

TLS 経由で API キーを使って認証します。当社はキーをハッシュ化して保存し、総当たり攻撃を締め出し、任意のキーを失効でき、すべてのレイヤーでレート制限をかけています。

各コントロールとその役割

api.geoiphub.com へのリクエストはすべて、最新の TLS による HTTPS で処理されます。平文のエンドポイントは存在しないため、キーや照会した IP が暗号化されずに送信されることはありません。

キーには geoip_ プレフィックスが付いているため、コードやシークレットスキャナーで簡単に識別できます。キーは bcrypt でハッシュ化して保存されます。作成後に当社がキーを読み出すことはできません。漏えいした場合は、お客様ご自身でローテーションしてください。

キーの認証失敗が繰り返されると、送信元 IP が一時的にブロックされます。API に対してキーを推測しようとする攻撃者は、成功に近づくどころか締め出されます。

ダッシュボードから任意のキーを即座に失効できます。失効は直ちに有効になり、アカウント内の他のキーには影響しません。

クォータはキー単位、アカウント単位、エッジの各レベルで適用されます。ある層での不正利用は次の層で捕捉され、すべての利用者のためにサービスを守ります。

内部サービスは相互に認証し、必要な権限だけを保持します。ルックアップの経路から請求系にはアクセスできず、ダッシュボードからスキャンパイプラインにはアクセスできません。

脆弱性を見つけましたか？再現手順を添えてメールでお知らせください。すべての報告に目を通し、正当な報告には返信します。 app@geoiphub.com

無料の API キーを作成すると、すべてのデータフィールド込みで 1 日 1,500 件のルックアップを利用できます。アップグレードはトラフィックが増えてからで構いません。