Signerte OG-bilde-URL-er
En signert OG-bilde-URL er en URL der parameterne er beskyttet med en HMAC-SHA256-signatur, slik at bare du (og koden som inneholder hemmeligheten din) kan be om gjengivelser som teller mot den månedlige kvoten din. FastOG signerer innholdet — identiske parametere produserer alltid den identiske, mellomlagrede URL-en — som både beskytter kvoten din og gjør mellomlagring deterministisk.
Hvorfor signere OG-bilde-URL-er
Et OG-bilde-endepunkt som gjengir vilkårlig tekst fra en uautentisert URL, er en gratis gjengivelsesfarm som hvem som helst kan bruke. På en abonnementsbasert tjeneste betyr det at hvem som helst kan brenne opp saldoen din. Ved å signere hver URL med en hemmelighet som bare backend-en din kjenner, blokkeres alle uautoriserte forespørsler ved første (ikke-mellomlagrede) henting, mens legitime, mellomlagrede URL-er fortsetter å fungere.
Slik fungerer innholdssignering
- Du bygger den kanoniske forespørselstrengen: hver parameter (unntatt signaturen), sortert og RFC-3986-kodet.
- Du beregner
HMAC_SHA256(secret, "GET/api/v1/og\n" + canonical). - Du legger til signaturen som
s-parameteren.
Meldingen inkluderer ingen tidsstempel, så URL-en er stabil: samme parametere → samme URL → samme cache-oppføring.
canonical = "key=sk_...&template=default&title=Hello"
signature = HMAC-SHA256(secret, "GET/api/v1/og\n" + canonical)
url = ".../api/v1/og?key=...&template=default&title=Hello&s=" + signature
Avveiningen folk misforstår
| Bekymring | Virkelighet |
|---|---|
| «En signert URL utløper» | Nei — den er innholdssignert og gyldig til du roterer hemmeligheten |
| «En manipulert URL ødelegger hurtigbufferen» | Nei — en ugyldig s får bare 401 ved et cache-miss; hurtigbufrede bilder returneres uansett |
| «Jeg trenger tidsstempler for sikkerhet» | Innholdssignering er nok til å stoppe kvotemisbruk; ingen klokke er nødvendig |
Énfils-SDK-er
FastOG leveres med én enkelt signeringsfil per språk (uten avhengigheter), så du slipper å skrive HMAC selv. Last ned fra SDK-siden eller curl direkte fra CDN:
curl -O https://fastog.com/sdk/node.js
FAQ
Utløper signerte URL-er noen gang?
Ikke som standard — de forblir gyldige til du roterer API-nøkkelens HMAC-hemmelighet. Innholdssignert, ikke tidssignert.
Kan noen andre bruke opp kvoten min ved å gjette en URL?
Nei. De trenger HMAC-hemmeligheten din for å danne en gyldig signatur; uten den returnerer ubufrede gjengivelser 401 invalid_signature.
Signerer jeg URL-en i nettleseren?
Nei. Signer på serversiden (eller i en edge-funksjon) der hemmeligheten aldri sendes til klienten. Den gjengitte bilde-URL-en er trygg å ha i din offentlige <head>.