Hướng dẫn3 phút đọcCập nhật 04/11/2026
Xác thực & Bảo mật API Key
Cơ chế xác thực qua Bearer Token, quản lý vòng đời API Key và các nguyên tắc bảo mật khi triển khai ứng dụng.
#authentication#auth#api key#bearer#bảo mật
#Cấu trúc Header xác thực
Tất cả các yêu cầu gửi đến APIVIEN Gateway bắt buộc phải chứa Header HTTP `Authorization` với tiền tố `Bearer`:
Authorization: Bearer apivien-live-xxxxxxxxxxxxxxxxxxxx#Quản lý API Key trên Dashboard
- **Tạo nhiều key**: Bạn có thể tạo các API Key riêng biệt cho từng môi trường (Development, Staging, Production) hoặc từng ứng dụng để dễ dàng theo dõi chi phí.
- **Đặt giới hạn hàng tháng (Monthly Spend Limit)**: Ngăn ngừa rủi ro bị rò rỉ key dẫn đến chi phí phát sinh không mong muốn bằng cách gán hạn mức chi tiêu tối đa (ví dụ 500.000 VNĐ/tháng).
- **Thu hồi tức thì (Revoke)**: Khi nghi ngờ key bị lộ, bạn có thể nhấn Thu hồi trực tiếp trên Dashboard, key sẽ mất hiệu lực ngay trong vòng chưa đầy 1 giây.
#Nguyên tắc bảo mật quan trọng
1. **Sử dụng biến môi trường**: Luôn lưu key trong file `.env` và nạp qua `process.env.APIVIEN_API_KEY` hoặc `os.environ["APIVIEN_API_KEY"]`.
2. **Thêm vào `.gitignore`**: Đảm bảo file chứa secret không bị vô tình commit lên GitHub/GitLab công khai.
3. **Phân quyền tối thiểu**: Giới hạn IP hoặc gán hạn mức chi tiêu theo dự án.
Không nhúng API Key vào mã nguồn Frontend!
Tuyệt đối không đưa API Key vào mã nguồn React/Vue/Mobile app chạy phía trình duyệt người dùng. Luôn gọi API thông qua Backend Proxy của bạn hoặc lưu trong biến môi trường `.env.local`.