Đối với các ứng dụng và dự án sử dụng API và SDK của Nền tảng Google Maps, bạn phải sử dụng khoá API hoặc Oauth (nếu được hỗ trợ) để ngăn việc sử dụng và tính phí trái phép. Nếu bạn sử dụng khoá API, thì để tăng tối đa khả năng bảo mật, hãy hạn chế khoá API khi tạo các khoá đó. Những phương pháp hay nhất này sẽ hướng dẫn bạn cách hạn chế những nội dung này.
Ngoài việc áp dụng các quy tắc hạn chế đối với khoá API và ứng dụng, hãy làm theo mọi phương pháp bảo mật áp dụng cho một số sản phẩm trên Nền tảng Google Maps. Ví dụ: xem API JavaScript của Maps bên dưới trong phần Hạn chế về ứng dụng và API được đề xuất.
Nếu khoá API đã được sử dụng, hãy xem các đề xuất bên dưới trong phần Nếu bạn đang hạn chế hoặc tạo lại khoá API đang dùng.
Để biết thêm thông tin chi tiết về chữ ký số, hãy xem Hướng dẫn về chữ ký số.
Các phương pháp hay nhất được đề xuất
Để tăng mức độ bảo mật và tránh bị tính phí cho hoạt động sử dụng trái phép, hãy làm theo các phương pháp hay nhất về bảo mật API sau đây cho tất cả API, SDK hoặc dịch vụ của Nền tảng Google Maps:
Nên dùng cho mọi trường hợp sử dụng khoá API
Sử dụng các khoá API riêng biệt cho từng ứng dụng
Kiểm tra việc sử dụng khoá API của bạn
Hãy cẩn thận khi tạo lại khoá API
Các đề xuất bổ sung cho các trang web sử dụng API web tĩnh
Bảo vệ ứng dụng bằng API web tĩnh
Đề xuất bổ sung cho các ứng dụng sử dụng dịch vụ web
Bảo vệ ứng dụng bằng dịch vụ web
Các đề xuất bổ sung cho ứng dụng dành cho thiết bị di động iOS và Android
Bảo vệ ứng dụng di động bằng dịch vụ web hoặc API web tĩnh
Nếu bạn đang hạn chế hoặc tạo lại khoá API đang được sử dụng
Trước khi thay đổi khoá API, hãy Kiểm tra mức sử dụng khoá API. Bước này đặc biệt quan trọng nếu bạn thêm các quy tắc hạn chế sau khi sử dụng khoá.
Sau khi bạn thay đổi khoá, hãy cập nhật tất cả ứng dụng bằng các khoá API mới nếu cần.
Nếu không còn hành vi lạm dụng khoá API, bạn có thể di chuyển ứng dụng sang nhiều khoá API mới theo tiến độ của riêng mình, giữ nguyên khoá API gốc cho đến khi bạn chỉ thấy một loại lưu lượng truy cập. Sau đó, bạn có thể hạn chế các khoá API đó bằng một ứng dụng hạn chế. Để được hướng dẫn thêm, hãy xem phần Di chuyển sang nhiều khoá API.
Theo dõi mức sử dụng theo thời gian và xem thời điểm các API, loại nền tảng và miền cụ thể đã di chuyển khỏi khoá API cũ trước khi bạn chọn hạn chế hoặc xoá khoá cũ. Để biết thêm thông tin, hãy xem bài viết Báo cáo và giám sát và Chỉ số.
Nếu khoá API của bạn đã bị xâm phạm, bạn nên di chuyển nhanh hơn để bảo mật khoá API của mình và ngăn chặn hành vi sai trái. Trong ứng dụng Android và iOS, các khoá sẽ không được thay thế cho đến khi khách hàng cập nhật ứng dụng. Việc cập nhật hoặc thay thế khoá trong các ứng dụng JavaScript hoặc dịch vụ web đơn giản hơn nhiều, nhưng vẫn có thể đòi hỏi bạn phải lập kế hoạch cẩn thận và thực hiện nhanh các thao tác.
Để biết thêm thông tin, hãy xem bài viết Xử lý hoạt động sử dụng trái phép khoá API.
Hạn chế khoá API
Phương pháp hay nhất là luôn hạn chế các khoá API bằng một quy tắc hạn chế đối với ứng dụng và một hoặc nhiều quy tắc hạn chế API. Để biết các quy định hạn chế được đề xuất theo API, SDK hoặc dịch vụ JavaScript, hãy xem phần Các quy định hạn chế được đề xuất về ứng dụng và API bên dưới.
Hạn chế về ứng dụng Bạn có thể giới hạn việc sử dụng khoá API cho các nền tảng cụ thể: ứng dụng Android hoặc iOS hoặc các trang web cụ thể cho ứng dụng phía máy khách, hoặc địa chỉ IP hay mạng con CIDR cụ thể cho các ứng dụng phía máy chủ tạo lệnh gọi API REST dịch vụ web.
Bạn hạn chế một khoá bằng cách thêm một hoặc nhiều quy định hạn chế cho ứng dụng thuộc các loại bạn muốn cho phép, sau đó chỉ cho phép những yêu cầu bắt nguồn từ những nguồn này.
Các hạn chế về API Bạn có thể hạn chế các API, SDK hoặc dịch vụ của Nền tảng Google Maps có thể sử dụng khoá API của bạn. Các hạn chế đối với API chỉ cho phép yêu cầu API và SDK mà bạn chỉ định. Đối với bất kỳ khoá API nhất định nào, bạn có thể chỉ định số lượng quy định hạn chế đối với API nếu cần. Danh sách API có sẵn bao gồm tất cả API được bật trong một dự án.
Đặt hạn chế ứng dụng cho khoá API
Mở trang Thông tin đăng nhập trên Nền tảng Google Maps của Google Cloud Console.
Chọn khoá API mà bạn muốn hạn chế.
Trên trang Edit API key (Chỉnh sửa khoá API), trong mục Key Restrictions (Hạn chế khoá), hãy chọn Set an application Manage (Đặt hạn chế ứng dụng).
Chọn một trong các loại quy định hạn chế và cung cấp thông tin bắt buộc trong danh sách hạn chế.
Loại quy định hạn chế Nội dung mô tả Trang web Chỉ định một hoặc nhiều trang web liên kết giới thiệu. - Các giao thức URI liên kết giới thiệu được hỗ trợ trên toàn cầu là
httpsvàhttp. - Luôn cung cấp URI liên kết giới thiệu đầy đủ, bao gồm lược đồ giao thức, tên máy chủ và cổng không bắt buộc (ví dụ:
https://google.com). - Bạn có thể sử dụng ký tự đại diện để cho phép tất cả miền con. Ví dụ:
https://*.google.comchấp nhận mọi trang web có đuôi là.google.com. Xin lưu ý rằng nếu bạn chỉ định www.domain.com, thì miền này sẽ hoạt động như một ký tự đại diện www.domain.com/* và cho phép mọi đường dẫn con trên tên máy chủ đó. - Hãy thận trọng khi uỷ quyền các đường liên kết giới thiệu đầy đủ, chẳng hạn như
https://google.com/some/path, vì theo mặc định, hầu hết các trình duyệt hiện tại đều loại bỏ đường dẫn khỏi các yêu cầu từ nhiều nguồn.
địa chỉ IP Hãy chỉ định một hoặc nhiều địa chỉ IPv4 hoặc IPv6 hoặc mạng con bằng ký hiệu CIDR. Địa chỉ IP phải khớp với địa chỉ nguồn mà máy chủ Nền tảng Google Maps quan sát thấy. Nếu bạn sử dụng tính năng dịch địa chỉ mạng (NAT), thì địa chỉ này thường tương ứng với địa chỉ IP công khai của máy. Ứng dụng Android Thêm tên gói Android (từ tệp AndroidManifest.xml) và dấu vân tay chứng chỉ ký SHA-1 của từng ứng dụng Android mà bạn muốn cấp quyền. Nếu bạn sử dụng Tính năng ký ứng dụng của Play, để tìm nạp dấu vân tay chứng chỉ ký, hãy xem phần Làm việc với nhà cung cấp API. Nếu bạn quản lý khoá ký của riêng mình, hãy xem phần Tự ký ứng dụng hoặc tham khảo hướng dẫn dành cho môi trường tạo bản dựng.Ứng dụng iOS Thêm giá trị nhận dạng gói của từng ứng dụng iOS mà bạn muốn cho phép. Để biết các đề xuất về quy định hạn chế đối với ứng dụng, hãy xem phần Hạn chế được đề xuất về ứng dụng.
- Các giao thức URI liên kết giới thiệu được hỗ trợ trên toàn cầu là
Chọn Lưu.
Đặt các quy tắc hạn chế API cho khoá API
Mở trang Thông tin đăng nhập trên Nền tảng Google Maps của Google Cloud Console.
Chọn khoá API mà bạn muốn hạn chế.
Trên trang Chỉnh sửa khoá API, trong phần Các hạn chế về API:
Chọn Hạn chế khoá.
Mở Select API (Chọn API) rồi chọn API hoặc SDK bạn muốn ứng dụng của mình truy cập bằng khoá API.
Bạn cần bật API hoặc SDK nếu có trong danh sách. Để biết thông tin chi tiết, vui lòng xem phần Để bật một hoặc nhiều API/SDK.
Chọn Lưu.
Quy định hạn chế này sẽ trở thành một phần của định nghĩa khoá API sau bước này. Hãy nhớ cung cấp thông tin chi tiết thích hợp và chọn Lưu để lưu các hạn chế về khoá API. Để biết thêm thông tin, hãy xem hướng dẫn Lấy khoá API trong tài liệu về API hoặc SDK cụ thể mà bạn quan tâm.
Để biết các quy định hạn chế được đề xuất đối với API, hãy xem bài viết Các quy định hạn chế nên dùng đối với API.
Kiểm tra việc sử dụng khoá API của bạn
Nếu bạn đang hạn chế khoá API sau khi tạo các khoá đó hoặc nếu muốn xem khoá đang sử dụng API nào để có thể hạn chế, bạn nên kiểm tra mức sử dụng khoá API của mình. Các bước này sẽ cho bạn biết khoá API đang được sử dụng cho những dịch vụ và phương thức API nào. Nếu bạn thấy có hoạt động sử dụng ngoài các dịch vụ của Nền tảng Google Maps, hãy điều tra để xác định xem bạn có cần thêm các hạn chế khác để tránh việc sử dụng không mong muốn hay không. Bạn có thể sử dụng Trình khám phá các chỉ số trên Cloud Console của Google Maps Platform để xác định các quy định hạn chế về API và ứng dụng sẽ áp dụng cho khoá API của mình:
Xác định các API sử dụng khoá API của bạn
Các báo cáo chỉ số sau đây giúp bạn xác định API nào đang dùng khoá API. Hãy sử dụng các báo cáo này để làm những việc sau:
- Xem cách khoá API của bạn được sử dụng
- Phát hiện mức sử dụng ngoài dự kiến
- Giúp xác minh xem một khoá không dùng đến có an toàn để xoá hay không. Để biết thông tin về cách xoá khoá API, hãy xem phần Xoá khoá API không dùng đến.
Khi áp dụng các quy tắc hạn chế API, hãy sử dụng các báo cáo này để tạo danh sách API cần uỷ quyền hoặc xác thực các đề xuất về quy tắc hạn chế đối với khoá API được tạo tự động. Để biết thêm thông tin về các quy tắc hạn chế được đề xuất, hãy xem phần Áp dụng các quy tắc hạn chế được đề xuất. Để biết thêm thông tin về cách sử dụng Trình khám phá chỉ số, hãy xem bài viết Tạo biểu đồ bằng Trình khám phá chỉ số.
Chuyển đến Trình khám phá chỉ số của Google Cloud Console.
Đăng nhập rồi chọn dự án cho các khoá API mà bạn muốn kiểm tra.
Chuyển đến trang Trình khám phá chỉ số cho loại API của bạn:
Đối với khoá API sử dụng bất kỳ API nào ngoại trừ API Nhúng của Maps: Chuyển đến trang Trình khám phá chỉ số.
Đối với khoá API sử dụng API Nhúng của Maps: Chuyển đến Trình khám phá chỉ số.
Kiểm tra từng khoá API:
Chọn THÊM BỘ LỌC.
Chọn nhãn
credential_id.Chọn value tương ứng với khoá mà bạn muốn kiểm tra.
Hãy lưu ý xem khoá API này đang được dùng cho những API nào và xác nhận việc sử dụng dự kiến.
Sau khi hoàn tất, hãy chọn biểu tượng Xoá bộ lọc ở cuối dòng bộ lọc đang hoạt động để xoá bộ lọc bổ sung.
Lặp lại các thao tác trên cho các phím còn lại.
Hạn chế để chỉ sử dụng khoá API cho những API đang được sử dụng.
Nếu bạn phát hiện hành vi sử dụng trái phép, hãy xem phần Xử lý hành vi sử dụng trái phép khoá API.
Chọn đúng loại quy định hạn chế về ứng dụng bằng Trình khám phá chỉ số
Sau khi xác minh và thực hiện mọi hành động cần thiết để đảm bảo khoá API chỉ được dùng cho các dịch vụ của Nền tảng Google Maps mà khoá đang sử dụng, hãy đảm bảo khoá API có các quy định hạn chế phù hợp về ứng dụng.
Nếu khoá API của bạn có các quy tắc hạn chế được đề xuất đối với khoá API, hãy áp dụng các quy tắc đó. Để biết thêm thông tin, hãy xem phần Áp dụng các quy tắc hạn chế được đề xuất đối với khoá API.
Nếu khoá API của bạn không có đề xuất hạn chế, hãy xác định loại quy định hạn chế đối với ứng dụng sẽ được áp dụng, dựa trên platform_type được báo cáo bằng Trình khám phá chỉ số:
Chuyển đến Trình khám phá chỉ số của Google Cloud Console.
Đăng nhập rồi chọn dự án cho các API mà bạn muốn kiểm tra.
Truy cập trang Trình khám phá chỉ số này: Trình khám phá chỉ số.
Kiểm tra từng khoá API:
Chọn THÊM BỘ LỌC.
Chọn nhãn
credential_id.Chọn value tương ứng với khoá mà bạn muốn kiểm tra.
Sau khi hoàn tất, hãy chọn biểu tượng Xoá bộ lọc ở cuối dòng bộ lọc đang hoạt động để xoá bộ lọc bổ sung.
Lặp lại các thao tác trên cho các phím còn lại.
Sau khi bạn có loại nền tảng cho các khoá API của mình, hãy áp dụng quy định hạn chế về ứng dụng cho
platform_typeđó:PLATFORM_TYPE_JS- Áp dụng các hạn chế về trang web đối với khoá.
PLATFORM_TYPE_ANDROID- Áp dụng các hạn chế cho ứng dụng Android đối với khoá.
PLATFORM_TYPE_IOS- Áp dụng các hạn chế đối với ứng dụng iOS đối với khoá này.
PLATFORM_TYPE_WEBSERVICE- Bạn có thể phải dựa vào các quy tắc hạn chế địa chỉ IP trên khoá để hạn chế khoá đó đúng cách. Để biết thêm các lựa chọn về API tĩnh cho Maps và API tĩnh cho Chế độ xem đường phố, hãy xem bài viết Bảo vệ ứng dụng bằng API web tĩnh. Để biết thêm hướng dẫn về API Nhúng của Maps, hãy xem bài viết Các trang web có API Nhúng của Maps.
- Khoá API của tôi đang sử dụng nhiều loại nền tảng
- Không thể bảo mật lưu lượng truy cập của bạn đúng cách chỉ bằng một khoá API duy nhất. Bạn cần di chuyển sang nhiều khoá API. Để biết thêm thông tin, hãy xem phần Di chuyển sang nhiều khoá API.
Sử dụng các khoá API riêng biệt cho từng ứng dụng
Phương pháp này giới hạn phạm vi của từng khoá. Nếu một khoá API bị xâm phạm, bạn có thể xoá hoặc tạo lại khoá bị ảnh hưởng mà không cần cập nhật các khoá API khác. Bạn có thể tạo tối đa 300 khoá API cho mỗi dự án. Để biết thêm thông tin, hãy xem phần Giới hạn đối với khoá API.
Mặc dù một khoá API cho mỗi ứng dụng là lý tưởng cho mục đích bảo mật, nhưng bạn có thể dùng các khoá bị hạn chế trên nhiều ứng dụng, miễn là các khoá đó sử dụng cùng một loại hạn chế ứng dụng.
Áp dụng các quy định hạn chế được đề xuất đối với khoá API
Đối với một số chủ sở hữu và người chỉnh sửa dự án, Google Cloud Console đề xuất các quy tắc hạn chế cụ thể đối với khoá API đối với các khoá API không bị hạn chế dựa trên hoạt động và mức sử dụng trên Nền tảng Google Maps.
Nếu có, các đề xuất sẽ xuất hiện dưới dạng tuỳ chọn được điền sẵn trên trang Thông tin đăng nhập Nền tảng Google Maps.
Lý do khiến bạn có thể không thấy một nội dung đề xuất hoặc một nội dung đề xuất chưa hoàn chỉnh
Bạn (cũng) đang sử dụng khoá API trên các dịch vụ khác của Nền tảng Google Maps. Nếu bạn thấy hoạt động sử dụng trên các dịch vụ khác, thì đừng áp dụng đề xuất đó trước tiên, hãy làm những việc sau:
Xác minh rằng mức sử dụng API mà bạn thấy trong Trình khám phá chỉ số của Google Cloud Console là hợp lệ.
Thêm dịch vụ còn thiếu vào danh sách API được uỷ quyền theo cách thủ công.
Thêm thủ công mọi quy tắc hạn chế còn thiếu của ứng dụng đối với các dịch vụ được thêm vào danh sách API. Nếu ứng dụng khác mà bạn thêm vào sẽ yêu cầu một loại hạn chế khác của ứng dụng, hãy xem bài viết Di chuyển sang nhiều khoá API.
Khoá API của bạn không được dùng trong SDK hoặc API phía máy khách.
Bạn sử dụng khoá API trong một ứng dụng hoặc trang web có dung lượng thấp không được sử dụng trong 60 ngày qua.
Bạn đã tạo một khoá mới gần đây hoặc gần đây bạn đã triển khai một khoá hiện có trong ứng dụng mới. Nếu trường hợp này xảy ra, bạn chỉ cần đợi thêm vài ngày để cho phép các đề xuất cập nhật.
Bạn đang sử dụng khoá API trong nhiều ứng dụng yêu cầu các loại hạn chế ứng dụng có xung đột hoặc bạn đang sử dụng cùng một khoá API trong quá nhiều ứng dụng hoặc trang web khác nhau. Trong cả hai trường hợp, tốt nhất bạn nên di chuyển sang nhiều khoá. Để biết thêm thông tin, hãy xem phần Di chuyển sang nhiều khoá API.
Lý do khiến bạn có thể thấy các đề xuất không hiển thị trong biểu đồ
Ứng dụng hoặc trang web của bạn chỉ gửi những đợt tăng lưu lượng truy cập rất ngắn. Trong trường hợp này, hãy chuyển từ chế độ xem BIỂU ĐỒ để hiển thị BẢNG hoặc CẢ HAI, vì cách sử dụng vẫn hiển thị trong phần chú giải. Để biết thêm thông tin, hãy xem phần Bật/tắt toàn bộ chú thích của biểu đồ.
Lưu lượng truy cập của bạn đến từ Maps Embedded API (API Nhúng của Maps). Để biết hướng dẫn, hãy xem phần Xác định các API sử dụng khoá API của bạn.
Lưu lượng truy cập từ ứng dụng hoặc trang web nằm ngoài phạm vi ngày có trong Trình khám phá chỉ số của Google Cloud Console.
Cách áp dụng các quy tắc hạn chế được đề xuất
Mở trang Thông tin đăng nhập trên Nền tảng Google Maps của Google Cloud Console.
Nếu có, hãy chọn Áp dụng các quy định hạn chế được đề xuất.
Lưu ý: Nếu bạn không thấy quy tắc hạn chế nào được đề xuất, hãy xem phần Đặt quy tắc hạn chế API cho một khoá API để đặt các quy tắc hạn chế thích hợp.
Chọn Kiểm tra mức sử dụng API để xác minh những dịch vụ đang được sử dụng khoá API. Nếu bạn thấy các dịch vụ khác trên Nền tảng Google Maps, hãy tạm dừng để xem xét các bước đề xuất ở trên theo cách thủ công. Xem các bước khắc phục sự cố ở đầu phần Áp dụng các hạn chế được đề xuất cho khoá API.
Kiểm tra kỹ để đảm bảo các quy định hạn chế được điền sẵn khớp với trang web và ứng dụng mà bạn muốn sử dụng khoá API của mình.
Phương pháp hay nhất: Ghi lại và xoá mọi ứng dụng hoặc quy định hạn chế về API không liên kết với dịch vụ của bạn. Nếu có vấn đề xảy ra do phần phụ thuộc ngoài dự kiến, bạn có thể thêm lại các ứng dụng hoặc API bắt buộc.
Nếu bạn nhận ra rõ ràng rằng một ứng dụng, trang web hoặc API bị thiếu trong nội dung đề xuất, hãy thêm ứng dụng, trang web hoặc API đó theo cách thủ công hoặc đợi một vài ngày để cho phép đề xuất cập nhật.
Nếu bạn cần được trợ giúp thêm về đề xuất được đề xuất, hãy liên hệ với nhóm hỗ trợ.
Chọn Áp dụng.
Việc cần làm nếu đơn đăng ký của bạn bị từ chối sau khi áp dụng một đề xuất
Nếu bạn nhận thấy một ứng dụng hoặc trang web bị từ chối sau khi áp dụng một quy định hạn chế, hãy tìm quy định hạn chế về ứng dụng mà bạn cần thêm vào thông báo lỗi phản hồi API.
Đối với các SDK phía máy khách, hãy xem bên dưới:
- Ứng dụng API JavaScript của Maps: xem bảng điều khiển gỡ lỗi của trình duyệt
- Ứng dụng Android: sử dụng Cầu gỡ lỗi Android (adb) hoặc Logcat
- Ứng dụng iOS: xem Xem thông báo nhật ký
Để kiểm tra các hạn chế API bắt buộc, hãy xem phần Xác định các API sử dụng khoá API của bạn.
Nếu bạn không thể xác định những quy định hạn chế sẽ áp dụng:
- Ghi lại các quy định hạn chế hiện tại để tham khảo trong tương lai.
- Hãy tạm thời xoá các tài khoản đó trong khi bạn điều tra vấn đề. Bạn có thể kiểm tra mức sử dụng theo thời gian qua các bước trong bài viết Kiểm tra mức sử dụng khoá API.
- Nếu cần, hãy liên hệ với nhóm hỗ trợ.
Xoá khoá API không dùng đến
Trước khi xoá khoá API, hãy đảm bảo rằng bạn chưa dùng khoá đó trong môi trường phát hành công khai. Nếu không có lưu lượng truy cập thành công, thì có thể bạn nên xoá khoá này. Để biết thêm thông tin, hãy xem bài viết Kiểm tra mức sử dụng khoá API của bạn.
Cách xoá khoá API:
Mở trang Thông tin đăng nhập trên Nền tảng Google Maps của Google Cloud Console.
Chọn khoá API bạn muốn xoá.
Chọn nút Xoá ở gần đầu trang.
Trên trang Xoá thông tin đăng nhập, hãy chọn Xoá.
Việc xoá khoá API sẽ mất vài phút để có hiệu lực. Sau khi quá trình truyền tải hoàn tất, mọi lưu lượng truy cập sử dụng khoá API đã xoá sẽ bị từ chối.
Hãy cẩn thận khi tạo lại khoá API của bạn
Việc tạo lại khoá API sẽ tạo ra một khoá mới có tất cả các hạn chế của khoá cũ. Quá trình này cũng bắt đầu bộ tính giờ 24 giờ, sau đó khoá API cũ sẽ bị xoá.
Trong khoảng thời gian này, cả khoá cũ và khoá mới đều được chấp nhận, giúp bạn có cơ hội di chuyển các ứng dụng của mình để dùng khoá mới. Tuy nhiên, sau khi khoảng thời gian này kết thúc, mọi ứng dụng vẫn đang sử dụng khoá API cũ sẽ ngừng hoạt động.
Trước khi tạo lại khoá API:
Trước tiên, hãy cố gắng hạn chế các khoá API theo mô tả trong phần Hạn chế khoá API.
Nếu không thể hạn chế khoá API do các loại hạn chế ứng dụng xung đột với nhau, hãy di chuyển sang nhiều khoá mới (bị hạn chế) như mô tả trong phần Di chuyển sang nhiều khoá API. Việc di chuyển cho phép bạn kiểm soát quá trình di chuyển và triển khai tiến trình sang các khoá API mới.
Nếu không thể thực hiện các đề xuất trước đó và bạn phải tạo lại khoá API để ngăn hành vi sử dụng trái phép, hãy làm theo những bước sau:
Mở trang Thông tin đăng nhập trên Nền tảng Google Maps của Google Cloud Console.
Mở khoá API mà bạn muốn tạo lại.
Ở đầu trang, hãy chọn Tạo lại khoá.
Chọn Thay thế khoá.
Lưu ý: Nếu cần, bạn có thể khôi phục bất kỳ khoá nào đã được tạo lại về phiên bản trước đó. Không có giới hạn về thời gian đối với thao tác khôi phục.
Cách khôi phục khoá đã tạo lại
Mở trang Thông tin đăng nhập trên Nền tảng Google Maps của Google Cloud Console.
Mở khoá API bạn muốn khôi phục.
Chọn Hoàn nguyên về phím trước.
Trong hộp thoại Hoàn nguyên, chọn Phím hoàn nguyên.
Sau khi khôi phục, phiên bản "mới" của khoá sẽ trở thành phiên bản cũ và hệ thống sẽ đặt đồng hồ hẹn giờ huỷ kích hoạt mới 24 giờ cho khoá đó. Bạn có thể đảo ngược giữa hai khoá-giá trị này cho đến khi tạo lại khoá.
Nếu bạn tạo lại khoá này, khoá sẽ ghi đè giá trị khoá cũ không hoạt động.
Di chuyển sang nhiều khoá API
Để di chuyển từ việc sử dụng một khoá API cho nhiều ứng dụng sang một khoá API duy nhất cho mỗi ứng dụng, hãy làm như sau:
Xác định những ứng dụng cần khoá mới:
- Ứng dụng web là ứng dụng dễ cập nhật nhất vì bạn kiểm soát toàn bộ mã. Lên kế hoạch cập nhật tất cả khoá của các ứng dụng dựa trên nền tảng web.
- Ứng dụng di động khó hơn nhiều vì khách hàng của bạn phải cập nhật ứng dụng trước khi sử dụng được khoá mới.
Tạo và hạn chế khoá mới: Thêm cả quy tắc hạn chế cho ứng dụng và ít nhất một quy định hạn chế đối với API. Để biết thêm thông tin, hãy xem Các phương pháp hay nhất được đề xuất.
Thêm khoá mới vào ứng dụng của bạn: Đối với ứng dụng di động, quá trình này có thể mất hàng tháng cho đến khi tất cả người dùng của bạn cập nhật lên ứng dụng mới nhất bằng khoá API mới.
Bảo vệ ứng dụng bằng API web tĩnh
API web tĩnh (chẳng hạn như API Tĩnh của Maps và API Tĩnh của Chế độ xem đường phố) tương tự như lệnh gọi API dịch vụ web.
Bạn gọi cả hai bằng cách sử dụng một API REST HTTPS đơn giản và bạn thường tạo URL yêu cầu API trên máy chủ. Tuy nhiên, thay vì trả về phản hồi JSON, API Web tĩnh sẽ tạo một hình ảnh để bạn có thể nhúng vào mã HTML đã tạo. Quan trọng hơn, đó thường là máy khách của người dùng cuối chứ không phải máy chủ gọi dịch vụ của Nền tảng Google Maps.
Sử dụng chữ ký số
Tốt nhất là bạn nên luôn sử dụng chữ ký số bên cạnh khoá API. Ngoài ra, hãy xem xét số lượng yêu cầu chưa ký mà bạn muốn cho phép mỗi ngày và điều chỉnh hạn mức yêu cầu chưa ký cho phù hợp.
Để biết thêm thông tin chi tiết về chữ ký số, hãy xem Hướng dẫn về chữ ký số.
Bảo vệ khoá bí mật ký
Để bảo vệ API web tĩnh, đừng nhúng trực tiếp các khoá bí mật ký API vào mã hoặc trong cây nguồn hoặc tiết lộ những bí mật đó trong các ứng dụng phía máy khách. Hãy làm theo các phương pháp hay nhất sau đây để bảo vệ khoá bí mật ký của bạn:
Ký yêu cầu của bạn ở phía máy chủ, không phải trên máy khách. Nếu bạn thực hiện phía máy khách ký trong JavaScript, bạn sẽ hiển thị nội dung đó cho bất kỳ ai truy cập vào trang web của bạn. Do đó, đối với hình ảnh được tạo động, hãy luôn tạo API tĩnh của Maps và API tĩnh của Chế độ xem đường phố đã ký phía máy chủ khi phân phát trang web. Đối với nội dung web tĩnh, bạn có thể sử dụng tiện ích Ký URL ngay trên trang Thông tin đăng nhập của Nền tảng Google Maps trên Cloud Console.
Lưu trữ khoá ký bí mật bên ngoài mã nguồn và cây nguồn của ứng dụng. Nếu bạn đặt khoá ký bí mật hoặc bất kỳ thông tin riêng tư nào khác trong các biến môi trường hoặc bao gồm các tệp được lưu trữ riêng và sau đó chia sẻ mã của bạn, thì khoá bí mật ký sẽ không được đưa vào tệp được chia sẻ. Nếu bạn lưu trữ bí mật ký hoặc bất kỳ thông tin riêng tư nào khác trong tệp, hãy giữ các tệp bên ngoài cây nguồn của ứng dụng để giữ bí mật ký của bạn bên ngoài hệ thống kiểm soát mã nguồn của bạn. Biện pháp phòng ngừa này đặc biệt quan trọng nếu bạn sử dụng một hệ thống quản lý mã nguồn công khai, chẳng hạn như GitHub.
Bảo vệ khoá API của bạn trong các ứng dụng bằng dịch vụ web
Lưu trữ khoá API bên ngoài mã nguồn hoặc cây nguồn của ứng dụng. Nếu bạn đặt khoá API hoặc bất kỳ thông tin nào khác trong các biến môi trường hoặc bao gồm các tệp được lưu trữ riêng biệt rồi chia sẻ mã, thì khoá API sẽ không được đưa vào các tệp dùng chung. Điều này đặc biệt quan trọng nếu bạn sử dụng một hệ thống quản lý mã nguồn công khai, chẳng hạn như GitHub.
Bảo vệ khoá API và bí mật ký trong các ứng dụng di động bằng dịch vụ web hoặc API web tĩnh
Để bảo vệ ứng dụng dành cho thiết bị di động, hãy sử dụng kho khoá bảo mật hoặc máy chủ proxy bảo mật:
Lưu trữ khoá API hoặc khoá bí mật ký trong một kho khoá bảo mật. Bước này khiến việc trích xuất khoá API và các dữ liệu riêng tư khác trực tiếp từ ứng dụng trở nên khó khăn hơn.
Sử dụng máy chủ proxy bảo mật. Máy chủ proxy cung cấp một nguồn ổn định để tương tác với API Nền tảng Google Maps thích hợp. Để biết thêm thông tin về cách sử dụng máy chủ proxy, hãy xem bài viết Sống riêng biệt: Sử dụng máy chủ proxy với Thư viện ứng dụng API dữ liệu của Google.
Tạo các yêu cầu trên Nền tảng Google Maps trên máy chủ proxy. Không cho phép ứng dụng chuyển tiếp các lệnh gọi API tuỳ ý qua proxy.
Xử lý hậu kỳ các phản hồi của Nền tảng Google Maps trên máy chủ proxy của bạn. Lọc ra dữ liệu mà khách hàng không cần.
Xử lý hoạt động sử dụng trái phép khoá API
Nếu bạn phát hiện hành vi sử dụng khoá API trái phép, hãy làm như sau để giải quyết vấn đề:
Hạn chế khoá: Nếu bạn đã sử dụng cùng một khoá trong nhiều ứng dụng, hãy di chuyển sang nhiều khoá API và sử dụng các khoá API riêng biệt cho từng ứng dụng. Để biết thêm thông tin chi tiết, hãy xem:
Chỉ tạo lại khoá nếu bạn không thể hạn chế các khoá đó. Hãy đọc kỹ mục Hãy thận trọng khi tạo lại khoá API trước khi tiếp tục.
Nếu bạn vẫn gặp vấn đề hoặc cần được trợ giúp, hãy liên hệ với nhóm hỗ trợ.
Các quy định hạn chế nên dùng đối với ứng dụng và API
Các phần sau đây đề xuất các quy định hạn chế thích hợp đối với ứng dụng và API cho từng API, SDK hoặc dịch vụ của Nền tảng Google Maps.
Các quy định hạn chế nên dùng đối với API
Các nguyên tắc sau đây về các hạn chế đối với API sẽ áp dụng cho toàn bộ Nền tảng Google Maps:
Hạn chế khoá API của bạn chỉ cho các API bạn đang sử dụng khoá đó, với các trường hợp ngoại lệ sau:
Nếu ứng dụng của bạn sử dụng SDK Địa điểm dành cho Android hoặc SDK Địa điểm dành cho iOS, hãy cấp quyền cho API Địa điểm.
Nếu ứng dụng của bạn dùng API Maps JavaScript, hãy luôn uỷ quyền API này trên khoá.
Nếu cũng sử dụng bất kỳ dịch vụ API Maps JavaScript nào sau đây, thì bạn cũng nên cấp quyền cho các API sau đây:
Dịch vụ Quy định hạn chế về API Dịch vụ chỉ đường, API Maps JavaScript Directions API Dịch vụ ma trận khoảng cách, API Maps JavaScript Distance Matrix API Dịch vụ dữ liệu độ cao, API Maps JavaScript Elevation API Dịch vụ mã hóa địa lý, API Maps JavaScript Geocoding API Thư viện địa điểm, API JavaScript cho Maps Places API
Một số ví dụ:
Bạn đang sử dụng SDK Maps dành cho Android và SDK Địa điểm dành cho Android, nên bạn cần đưa SDK Maps dành cho Android và API Địa điểm vào dưới dạng các quy tắc hạn chế về API.
Trang web của bạn sử dụng Dịch vụ độ cao của API Maps JavaScript và API Maps tĩnh, vì vậy, bạn nên thêm các quy tắc hạn chế về API cho tất cả các API sau đây:
- API JavaScript cho Maps
- Elevation API
- Maps Static API
Hạn chế ứng dụng được đề xuất
Trang web sử dụng API JavaScript cho Maps hoặc API web tĩnh
Đối với các trang web dùng dịch vụ JavaScript cho Maps hoặc API web tĩnh, hãy dùng quy định hạn chế cho ứng dụng Websites.
Dùng cho những trang web sử dụng các API và dịch vụ JavaScript sau:
1 Đối với các ứng dụng dành cho thiết bị di động, hãy cân nhắc sử dụng SDK Maps dành cho Android và SDK Maps dành cho iOS gốc.
2 Xem thêm bài viết Bảo vệ ứng dụng di động bằng dịch vụ web hoặc API web tĩnh.
Các trang web có API Nhúng của Maps
Mặc dù việc sử dụng API Nhúng của Maps là hoàn toàn miễn phí, nhưng bạn vẫn nên hạn chế mọi khoá API đã sử dụng để ngăn chặn hành vi sai trái trên các dịch vụ khác.
Phương pháp hay nhất: Tạo một khoá API riêng để sử dụng API Nhúng của Maps và hạn chế khoá này chỉ cho API Nhúng của Maps. Quy định hạn chế này đảm bảo an toàn đầy đủ cho khoá để khoá này không bị sử dụng trái phép trên bất kỳ dịch vụ nào khác của Google.
Nếu bạn không thể tách việc sử dụng API Nhúng của Maps thành một khoá API riêng, hãy bảo mật khoá của bạn bằng quy định hạn chế của ứng dụng Websites.
Những ứng dụng và máy chủ sử dụng dịch vụ web
Đối với các ứng dụng và máy chủ sử dụng dịch vụ web, hãy dùng chế độ hạn chế ứng dụng IP addresses.
Dùng cho các ứng dụng và máy chủ dùng những API sau:
3 Đối với các ứng dụng dành cho thiết bị di động, hãy cân nhắc sử dụng SDK Địa điểm dành cho Android và SDK Địa điểm dành cho iOS gốc.
Ứng dụng Android
Đối với ứng dụng trên Android, hãy sử dụng quy định hạn chế cho ứng dụng Android apps.
Dùng cho các ứng dụng và máy chủ dùng những SDK này:
Ngoài ra, hãy ngăn việc vô tình kiểm tra các khoá API vào chế độ quản lý phiên bản bằng cách dùng Trình bổ trợ Khoá bí mật cho Gradle để chèn các khoá bí mật từ một tệp cục bộ thay vì lưu trữ các khoá đó trong Tệp kê khai Android.
Ứng dụng iOS
Đối với ứng dụng trên iOS, hãy sử dụng quy định hạn chế đối với ứng dụng iOS apps.
Dùng cho các ứng dụng và máy chủ dùng những SDK này: