איך משתמשים במפתחות API ל-Firebase ומנהלים אותם

מפתח API הוא מחרוזת ייחודית שמשמשת להפניית בקשות לפרויקט Firebase שלכם כשמתקשרים עם שירותי Firebase ו-Google. בדף הזה מוסבר על מפתחות API ומוצגות שיטות מומלצות לשימוש במפתחות API ולניהול שלהם באפליקציות Firebase.

אם קיבלתם אימייל מכתובת Google Cloud בנושא "מפתח Google API שנגיש לציבור בפרויקט Google Cloud" ומפתח ה-API שמופיע באימייל הוא מפתח Firebase API, עליכם לוודא שמפתח ה-API עומד בדרישות הבאות כדי שתוכלו לכלול אותו בבטחה בקוד או בקובצי ההגדרות. בדף APIs & Services > Credentials במסוף Google Cloud אפשר לבדוק את הפרטים הבאים:

  • זהו מפתח ה-API שבו אתם משתמשים באפליקציית Firebase שלכם ורק בשירותי Firebase. המקשים האלה נקראים בדרך כלל Browser key (auto created by Firebase) או Android key (auto created by Firebase) או iOS key (auto created by Firebase).
  • המפתח כולל את כל ממשקי ה-API שקשורים ל-Firebase ונדרשים, שמופיעים ברשימת ההיתרים של 'הגבלות על API' של המפתח.
  • לא מופיעים ממשקי API אחרים ברשימת ההיתרים של 'הגבלות API'. בפרט, הרשימה לא יכולה לכלול Generative Language API.

בנוסף, חשוב לוודא שאתם משתמשים ב-Firebase Security Rules וב-App Check כמומלץ במוצרי Firebase שבהם אתם משתמשים.

במאמר מידע על שימוש במפתחות API ב-Firebase וניהול שלהם מוסבר על מפתחות API ב-Firebase ומופיעה רשימה של שאלות נפוצות.


בהמשך הדף הזה מופיע מידע מפורט על מפתחות API ל-Firebase, וגם רשימה של שאלות נפוצות בנושא המפתחות האלה.

מידע כללי על מפתחות API ו-Firebase

מפתחות API ל-Firebase שונים ממפתחות API רגילים

בניגוד לשימוש הרגיל במפתחות API, מפתחות API לשירותי Firebase לא משמשים לשליטה בגישה למשאבי קצה עורפי. אפשר לעשות זאת רק באמצעות Firebase Security Rules (כדי לקבוע אילו משתמשי קצה יכולים לגשת למשאבים) וFirebase App Check (כדי לקבוע אילו אפליקציות יכולות לגשת למשאבים).

בדרך כלל, צריך לשמור על מפתחות API בקפדנות (לדוגמה, באמצעות שירות כספת או הגדרת המפתחות כמשתני סביבה). עם זאת, מפתחות API לשירותי Firebase יכולים להיכלל בקוד או בקובצי תצורה שנשמרים.

למרות שמפתחות API לשירותי Firebase בטוחים לשימוש בקוד, מומלץ לבדוק אותם ולהחיל עליהם הגבלות ומגבלות מתאימות.

יצירת מפתחות API

פרויקט Firebase יכול לכלול הרבה מפתחות API, אבל כל מפתח API יכול להיות משויך רק לפרויקט Firebase אחד.

מפתחות API שנוצרו באופן אוטומטי על ידי Firebase עבור אפליקציות Firebase

מערכת Firebase יוצרת באופן אוטומטי מפתחות API לפרויקט כשמבצעים את הפעולות הבאות:

  • יצירת פרויקט Firebase > Browser key נוצר אוטומטית
  • יצירת אפליקציית Apple ב-Firebase > iOS key נוצר באופן אוטומטי
  • יצירת אפליקציית Firebase ל-Android > Android key נוצר באופן אוטומטי
בשאלות הנפוצות.

אפשר גם ליצור מפתחות API משלכם במסוף Google Cloud, למשל לפיתוח או לניפוי באגים. בהמשך הדף הזה יש מידע נוסף על המקרים שבהם ההמלצה הזו עשויה להופיע.

איפה אפשר למצוא את מפתחות ה-API

בדף Credentials בAPIs & Services במסוף Google Cloud, אפשר לראות ולנהל את כל מפתחות ה-API של הפרויקט.

אפשר גם לראות איזה מפתח API משויך באופן אוטומטי לאפליקציית Firebase במקומות הבאים. כברירת מחדל, כל האפליקציות של Firebase בפרויקט לאותה פלטפורמה (Apple לעומת Android לעומת אינטרנט) ישתמשו באותו מפתח API.

  • אפליקציות של Firebase ל-Apple – מזהים את מפתח ה-API שתואם אוטומטית בקובץ ההגדרות של Firebase‏, GoogleService-Info.plist, בשדה API_KEY.

  • אפליקציות ל-Android ב-Firebase – מפתח ה-API שתואם אוטומטית נמצא בקובץ ההגדרה של Firebase, ‏ google-services.json, בשדה current_key.

  • אפליקציות אינטרנט של Firebase – מפתח ה-API שתואם אוטומטית נמצא באובייקט Firebase config, בשדה apiKey.

שימוש במפתח API

מפתחות API ל-Firebase משמשים לזיהוי פרויקט Firebase כשמתקשרים עם Firebase או עם שירותי Google. באופן ספציפי, הם משמשים לשיוך בקשות API עם הפרויקט שלכם, לצורכי מכסה וחיוב. הם שימושיים גם לגישה לנתונים ציבוריים.

ברוב המקרים, מפתחים לא צריכים ליצור אינטראקציה ישירה עם מפתחות ה-API האלה. במקום זאת, כשהאפליקציה שולחת קריאה ל-Firebase API שנדרש לו מפתח API שסופק על ידי לקוח לנייד או לקוח אינטרנט, האפליקציה מחפשת באופן אוטומטי מפתח API בהגדרות Firebase של האפליקציה. ההגדרה הזו נוספה לבסיס הקוד של האפליקציה כשקישרתם את האפליקציה ל-Firebase.

הערה: אפשר לספק את מפתח ה-API של האפליקציה בתוך האפליקציה באמצעות מנגנון אחר, כמו אפשרויות של Firebase או שימוש במשתני סביבה.

בנוסף, יכול להיות שתצטרכו להעביר באופן מפורש את הערך של מפתח ה-API למצב קריאה כפרמטר של שאילתה בכמה ממשקי REST API לשירותי Firebase. בדוגמה הזו אפשר לראות איך שולחים בקשה באמצעות Firebase Authentication API:

https://identitytoolkit.googleapis.com/v1/accounts:signInWithCustomToken?key=API_KEY

בדיקה והחלה של הגבלות מתאימות על מפתחות API

חשוב מאוד לוודא שלכל מפתחות ה-API בפרויקט מוגדרות הגבלות ומגבלות מתאימות על ממשקי ה-API, כמו שמתואר בקטע הזה.

בדיקה של ממשקי ה-API שנוספו אוטומטית לרשימת ההיתרים של מפתחות ה-API של Firebase

כשמערכת Firebase יוצרת מפתח API בפרויקט שלכם, אנחנו מוסיפים באופן אוטומטי 'הגבלות על API' למפתח הזה. ממשקי ה-API שנוספו לרשימת ההיתרים הזו הם ממשקי API שקשורים ל-Firebase, שדורשים מהלקוח לספק מפתח API יחד עם הקריאה. שימו לב: רוב ממשקי ה-API שנדרשים לשימוש בשירותי Firebase לא צריכים להיות ברשימת ההיתרים של מפתחות ה-API.

מכיוון ש-Firebase מוסיף את ממשקי ה-API הדרושים לכל שירותי Firebase, יכול להיות שרשימת ההיתרים של מפתח API תכלול ממשקי API למוצרים שאתם לא משתמשים בהם. אפשר להסיר ממשקי API מהרשימה הלבנה, אבל חשוב להקפיד לא להסיר את ממשקי ה-API שנדרשים ל-Firebase ולשירותי Firebase שבהם אתם משתמשים (אפשר לעיין ברשימת ממשקי ה-API שקשורים ל-Firebase שצריכים להיכלל ברשימה הלבנה עבור כל שירות או מוצר). אחרת, תקבלו שגיאות כשמבצעים קריאות לשירותי Firebase.

הגדרת מכסת שימוש נמוכה יותר אם משתמשים ב-Authentication מבוסס סיסמה

אם אתם משתמשים בסיסמה Firebase Authentication ומישהו השיג את מפתח ה-API שלכם, הוא לא יוכל לגשת למסד הנתונים או לנתוני Cloud Storage הפרויקט שלכם ב-Firebase כל עוד הנתונים האלה מוגנים על ידי Firebase Security Rules. עם זאת, הם יכולים להשתמש במפתח ה-API שלכם כדי לגשת לנקודות הקצה של האימות ב-Firebase ולשלוח בקשות אימות לפרויקט שלכם.

כדי לצמצם את הסיכון שמישהו ישתמש לרעה במפתח API כדי לנסות מתקפת כוח ברוטלי, אפשר להקטין את מכסת ברירת המחדל של נקודות הקצה identitytoolkit.googleapis.com כך שתשקף את נפח התנועה הרגיל שהאפליקציה צפויה לקבל. חשוב לזכור שאם תקטינו את המכסה הזו והאפליקציה שלכם תזכה לפתע למשתמשים חדשים, יכול להיות שתקבלו שגיאות בכניסה עד שתגדילו את המכסה. אפשר לשנות את מכסות ה-API של הפרויקט במסוף Google Cloud.

שימוש במפתחות API נפרדים ומוגבלים לכל שירות שאינו Firebase

למרות שבדרך כלל אין צורך להתייחס למפתחות API שמשמשים לשירותי Firebase כאל סוד, כדאי לנקוט אמצעי זהירות נוספים לגבי מפתחות API שבהם אתם משתמשים עם ממשקי Google Cloud API אחרים.

אם אתם משתמשים ב-API‏ Google Cloud (בכל פלטפורמה) שלא מיועד לשירות או למוצר של Firebase, מומלץ מאוד ליצור מפתחות API נפרדים ומוגבלים לשימוש עם ממשקי ה-API האלה. זה חשוב במיוחד אם ה-API מיועד לשירות Google Cloudבתשלום. בפרט, אסור לכלול את Gemini Developer API ברשימת ההיתרים של מפתח API שנגיש לציבור או של מפתח שמשמש לשירותים אחרים.

שימוש במפתחות API נפרדים ומוגבלים עבור ממשקי API שאינם של Firebase מאפשר לכם להחליף את המפתחות כשצריך ולהוסיף הגבלות נוספות למפתחות ה-API בלי לשבש את השימוש בשירותי Firebase.

שימוש במפתחות API ספציפיים לסביבה

אם הגדרתם פרויקטים שונים ב-Firebase לסביבות שונות, כמו Staging וייצור, חשוב שכל מופע של אפליקציה יקיים אינטראקציה עם פרויקט Firebase התואם. לדוגמה, מופע של אפליקציית staging לא צריך לתקשר עם פרויקט Firebase של סביבת הייצור. זה גם אומר שאפליקציית הבדיקה צריכה להשתמש במפתחות API שמשויכים לפרויקט הבדיקה ב-Firebase.

כדי לצמצם את הבעיות שקשורות לקידום שינויים בקוד משלב הפיתוח לשלב הביניים ולשלב הייצור, במקום לכלול מפתחות API בקוד עצמו, אפשר להגדיר אותם כמשתני סביבה או לכלול אותם בקובץ הגדרות.

שאלות נפוצות ופתרון בעיות

שאלות נפוצות

פתרון בעיות