ローカルに立てた管理ページ(http://localhost:3000)からAPIサーバー(https://api.myapp.com/admin/*)へ通信し、コンテンツを編集する…という設計を考えています。
通信する際にヘッダーへ管理者用パスワードを含めるのですが、この手法はセキュアなのでしょうか。
ちなみにAPIサーバーは管理者用エンドポイントの他に公開用エンドポイントも存在します。
ローカルに立てた管理ページ(http://localhost:3000)からAPIサーバー(https://api.myapp.com/admin/*)へ通信し、コンテンツを編集する…という設計を考えています。
通信する際にヘッダーへ管理者用パスワードを含めるのですが、この手法はセキュアなのでしょうか。
ちなみにAPIサーバーは管理者用エンドポイントの他に公開用エンドポイントも存在します。
通信のエンドポイントがJavaScriptかローカルHTTPサーバーか読み取れなかったので両方について書きます。
まずブラウザ上のJavaScriptからAPIサーバーと通信しているのであればページのオリジンに関わらずすべての通信がユーザーに筒抜けです。この場合は絶対に管理者パスワードなどを含めるべきではありません。
またローカルで動作するHTTPサーバーからAPIサーバーと通信する場合は一般のアプリケーションと同様に中間者攻撃の危険があります。またファイルシステムやメモリ上に平文でパスワードを保存した場合、比較的容易に抜き出すことができます。
程度の差はあれどちらもそれほど安全ではありません。管理権限を持たないユーザーにも配布するのであれば、埋め込みキーではなくきちんとサーバー側でユーザー認証を行うべきです。