Overmaak API

[Jenner]

Hallo,

Is het niet mogelijk om een API te maken die het mogelijk maakt om punten over te maken naar een ander account zonder dat de tussenkomende website het wachtwoord van die persoon hoeft te weten?

 

[Guest]

Is dat niet een beetje om veilig?

 

[Jenner]

Sevvlor (link):
Is dat niet een beetje om veilig?


Ik had er dus ook al een beetje over gedacht, maar misschien zou het principe van OAuth een beetje gebruikt kunnen worden. Al wordt het dan meteen wel een groter iets en kun je net zo goed een complete OAuth API schrijven.

 

[Antonn]

Zou handig kunnen zijn voor bijvoorbeeld sites als verdienxs. Meer o2xs APIs lijken me indd leuk

 

[Lennard]

Zoiets dus:

 

[Jenner]

Nja of net zo als je een GPT website hebt dat iemand een uitbetaling aanvraagt in one2xs punten (zie Verdienxs), als de admin dan de uitbetaling goedkeurt (of als dat al automatisch gaat,) dat er automatisch punten van je one2xs account naar het one2xs account van de uitbetaler wordt geschreven (o.i.d.)?

 

[Jenner]

Zoiets als Lennard idd

, maar ter beveiliging zou je dus een signature moeten maken (Van het OAuth idee) zodat de prijs en de persoon waar je het naartoe verzend niet kunnen worden aangepast en als je wordt terug gestuurd moet de code worden gecontroleerd of het wel een geldige code is

(Ook beveiligen met OAuth, omdat ie na het controleren niet meer geldig moet zijn)

 

[Rik]

Mij lijkt een algemene one2xs API dan beter. Dus dat je gewoon hosts, domeinen, puntenaantal e.d. van jezelf kan ophalen enz.

 

[Jenner]

Eigenlijk het liefste gewoon allebei. Maar hoe ga je dat op een veilige manier doen? Ik zelf ben zeer voorstander van OAuth, maar dat is voor one2xs wel een grote klus om dat te maken.

 

[Lennard]

Hoe op een veilige manier?
Elke user die dat wil een API key geven en vragen op welke IP adressen de API moet werken. Vervolgens roept de user one2xs.com/api?user=lennard&key=r9r9woeewufio93u&action=getdomains aan en hij krijgt de domeinnamen terug... roept ie one2xs.com/api?user=lennard&key=r9r9woeewufio93u&action=transfer&amount=4&to=rik aan dan maakt hij 4 punten over naar Rik.

Is geen OAuth voor nodig toch?

 

[Jenner]

IP zou dat ook idd een optie kunnen zijn

Al is misschien OAuth wat veiliger, maar voor een website als dit moet het niet uitmaken denk ik

Voor OAuth maar je een signature van alle variabele die je mee stuurt en hierdoor is het voor een onderschepper niet mogelijk om variabele aan te passen

 

[Rik]

Lennard (link):
Hoe op een veilige manier?
Elke user die dat wil een API key geven en vragen op welke IP adressen de API moet werken. Vervolgens roept de user one2xs.com/api?user=lennard&key=r9r9woeewufio93u&action=getdomains aan en hij krijgt de domeinnamen terug... roept ie one2xs.com/api?user=lennard&key=r9r9woeewufio93u&action=transfer&amount=4&to=rik aan dan maakt hij 4 punten over naar Rik.

Is geen OAuth voor nodig toch?


Ip is niet leuk voor dynamische IPs.

 

[Sjoerd]

Rik (link):
Ip is niet leuk voor dynamische IPs.
Hebben veel hosts een dynamisch IP dan?
Met IP lijkt het mij wel veiliger..

 

[Lennard]

Jenner (link):
IP zou dat ook idd een optie kunnen zijn

Al is misschien OAuth wat veiliger, maar voor een website als dit moet het niet uitmaken denk ik

Voor OAuth maar je een signature van alle variabele die je mee stuurt en hierdoor is het voor een onderschepper niet mogelijk om variabele aan te passen

Dat kan zo ook niet, want het script doet een request, one2xs maakt de betaling klaar en stuurt een betaallink terug, bezoeker komt op de betaallink, one2xs checkt of hij betaald heeft, stuurt de gebruiker terug, server vraagt nog een keer aan one2xs of er betaald is, one2xs stuurt terug of dat het geval is. Kan weinig fout aan gaan lijkt me?

 

[Jenner]

Lennard (link):

Jenner (link):
IP zou dat ook idd een optie kunnen zijn

Al is misschien OAuth wat veiliger, maar voor een website als dit moet het niet uitmaken denk ik

Voor OAuth maar je een signature van alle variabele die je mee stuurt en hierdoor is het voor een onderschepper niet mogelijk om variabele aan te passen

Dat kan zo ook niet, want het script doet een request, one2xs maakt de betaling klaar en stuurt een betaallink terug, bezoeker komt op de betaallink, one2xs checkt of hij betaald heeft, stuurt de gebruiker terug, server vraagt nog een keer aan one2xs of er betaald is, one2xs stuurt terug of dat het geval is. Kan weinig fout aan gaan lijkt me?



Een onderschepper kan toch de gebruiker aanpassen waar het naartoe gestuurd moet worden of het bedrag wat betaald moet worden?

 

[Lennard]

Hoe wil hij dat gaan doen?

 

[Rik]

Sjoerd (link):

Rik (link):
Ip is niet leuk voor dynamische IPs.
Hebben veel hosts een dynamisch IP dan?
Met IP lijkt het mij wel veiliger..



Ohja tuurlijk, die request komt van een site. Ik was ff in de war met je eigen IP

Nee, dan is IP (of hostname o.i.d.) wel een goed idee ja.

 

[Jenner]

Wie zegt dat iemand niet een leuk idee heeft en een app wil maken voor iOS of Android. Het is dan veel efficienter als het wordt opgehaald direct door de app dan dat een server hem eerst ophaalt en doorstuurt. En zou je dan willen dat iedere gebruiker van je server jouw ip weet?

 

[Lennard]

Ik wil geen apps die niet van ons zijn waarmee gebruikers punten kunnen oversturen naar elkaar ofzo, en als het gewoon van variabele_user -> vaste_user gaat dan is het efficient genoeg lijkt me, per betaling 6 requests, dat is wel te doen zolang er geen miljoen betalingen per dag gedaan worden via die API, en dat zie ik zo snel niet gebeuren.