Skip to main content

পার্টনার কী সুরক্ষিত রাখুন

পার্টনার কী প্রজেক্ট-জুড়ে অপারেশনের অনুমতি দেয়। এগুলো সার্ভার-সাইড সিক্রেট ম্যানেজার বা এনক্রিপ্টেড এনভায়রনমেন্ট ভ্যারিয়েবলে রাখুন এবং শুধু বিশ্বস্ত ব্যাকএন্ড প্রসেসে ইনজেক্ট করুন।
পার্টনার কী কখনো কনফিগারেশন, API রেসপন্স, কোয়েরি প্যারামিটার বা রেন্ডার করা এনভায়রনমেন্ট ভ্যারিয়েবল হিসেবে আপনার ফ্রন্টএন্ডে পাঠাবেন না। Social media studio-কে কল করার আগে সাইন-ইন করা গ্রাহককে অনুমোদন দেয় এমন সীমিত এন্ডপয়েন্ট আপনার ব্যাকএন্ডে রাখুন।
ডেভেলপমেন্টের সময় pk_test_ কী এবং শুধু প্রোডাকশনে pk_live_ কী ব্যবহার করুন। টেস্ট ও লাইভ প্রজেক্ট আলাদা রাখুন, নিয়মিত কী রোটেট করুন, এবং ফাঁস হয়ে থাকতে পারে মনে হলে সাথে সাথে কী প্রত্যাহার করুন।

প্রতিটি গ্রাহক-অপারেশন অনুমোদন করুন

SDK আপনার অ্যাপ্লিকেশনকে প্রমাণীকরণ করে, আপনার প্রোডাক্ট ব্যবহারকারী গ্রাহককে নয়। প্রতিটি SDK কলের আগে:
  1. আপনার অ্যাপ্লিকেশনে গ্রাহককে প্রমাণীকরণ করুন।
  2. আপনার সার্ভারে গ্রাহকের সংরক্ষিত Social media studio endUserId নির্ণয় করুন।
  3. অনুরোধ করা কানেকশন ও পোস্ট ID যে ওই গ্রাহকেরই, তা যাচাই করুন।
  4. সার্ভারে নির্ণয় করা ওই ID দিয়ে SDK কল করুন।
ডাটাবেসে মালিকানা যাচাই না করে ব্রাউজার থেকে আসা যেকোনো endUserId সরাসরি পাস করবেন না।

কী স্কোপ

পার্টনার কী এমনভাবে সীমিত করা যায় যাতে একটি সার্ভিসের প্রয়োজনীয় সক্ষমতাটুকুই থাকে: সম্ভব হলে স্বতন্ত্র সার্ভিসের জন্য আলাদা, ন্যূনতম-অনুমতির কী ব্যবহার করুন।

SDK ত্রুটি সামলান

প্রতিটি ব্যর্থ API রিকোয়েস্ট SoMePlatformError থ্রো করে:
পোস্ট তৈরির ক্ষেত্রে একই idempotency কী পুনর্ব্যবহার করলেই কেবল রিট্রাই নিরাপদ। অন্য write অপারেশনের ফলাফল নিশ্চিত করতে না পারলে সেগুলো অন্ধভাবে রিট্রাই করবেন না।

লগিং

আপনার গ্রাহক ID, এন্ড ইউজার ID, অপারেশন, HTTP স্ট্যাটাস ও idempotency কী-র মতো রিকোয়েস্টের প্রেক্ষাপট লগ করুন। সম্পূর্ণ পার্টনার কী, ওয়েবহুক সিক্রেট, OAuth টোকেন, presigned আপলোড URL বা সংবেদনশীল গ্রাহক মেটাডেটা লগ করবেন না।