SOAP API sichern - gegen Fremdeinbindung

[Curanai]

Hallo und guten Morgen, verehrte PSD'ler,

ich sitze auf einer fertigen, kostenlosen Grammatik-Content-Analyse-API (für Wordpress-Nutzer) und bin eigentlich fertig. Ebenso eigentlich wollte ich längst eine "closed beta" gemacht haben, um den letzten Feinschliff zu bekommen, damit dann tatsächlich kostenfrei das Plugin (ein Dankeschön ans Internet) zur Verfügung gestellt wird. Soweit die rosarote Brille ...

Es ist eine SOAP Schnittstelle - simpel, zügig, effizient. Aber blöd, um gegen Fremdzugriffe abgesichert zu werden. Denn eigentlich wollten wir nicht je Installation eine Art Serial/Oauth ausgeben (wir fassen die Datenbank in Wordpress gar nicht an; macht es nur wieder unnötig unfreundlicher), um Berechtigungen zu regeln. Wer-wie-oft-bla ... interessiert uns nicht. Aber wir würden gern vermeiden, dass diese offene Schnittstelle Anwendung in anderen Tools findet. Denn die API antwortet eben auf Anfragen von außen, wenn eben klar ist, wie diese angesprochen wird (ist kein Hexenwerk und eben Open-Source dank WP).

Hmm ... jetzt ist Schwarmintelligenz gefragt - mir fehlt hier irgendwie ein anderer (neuer?) Ansatz. Gibt es etwas vertrauenswürdig simples, um den vermeintlichen Branchenprimus mit seinen falschen Werten draußen zu halten? Aus technischer Sicht: gar nicht. Selbst mit Serial etc. würde sich das ja machen lassen ... aber vielleicht übersehe ich was.

Ich freue mich auf ein paar Gedanken eurerseits.

Vielen Dank.

 

[Curanai]

Hallo PSDler,

schade, dass ihr auch keine Idee habt. Das Problem ist weiterhin beständig und es besteht auch weiterhin Bedarf an einem Ansatz.

Wenn ich in der Zwischenzeit was zusammengelötet bekomme, gebe ich das natürlich bekannt.

Habt Dank!

 

[sternenkaiser]

Moin,

wenn es offen ist dann ist es offen und jeder kann dann darauf zugreifen.

Wenn Du es beschränken willst, und das solltest du, ist nur die Frage wie stark? Vorstellbar wäre, dass sich jede Installation eine UUID über eine E-Mail-Adresse holt. Dann kann der Zugriff zur Not auch wieder beschränken werden. D.h. es wird eine UUID angefordert über ein Formular und in eine Tabelle gespeichert. Dann bei der Abfrage wird die UUID nur geprüft ob vorhanden. Die E-Mail-Adresse muss noch nicht einmal mitgespeichert werden. Das Formular könnte dann mittels Capcha o.ä. gegen Bots gesichert werden.

Aber ganz ohne Hürde geht es halt nicht.

 

[Curanai]

Guten Morgen und hallo sternenkaiser,

ja, ich befürchtete dies - denn eigentlich will ich die Installation rund um Wordpress vom User gar nicht anfassen wollen. Der wird schon von anderen Plugins genügend bemüllt.

Mistiger ... aber recht wirst Du haben und ich hatte es mir längst gedacht.

Danke Dir.