2026.07.30.
Kódolás, keretrendszerek

API kulcsok biztonságos kezelése environment változókkal.

Temesvári László

Nem csak kódot, hanem titkokat is kell fejleszteni: a jelszavak és API kulcsok biztonságos kezelése

Ha kicsit is dolgoztál már valós alkalmazásokon, tudod, hogy a kód mellett másokra is vigyázni kell: a titkainkra. Igen, pontosan, a jelszavakra, API kulcsokra, adatbázis kapcsolati adatokra – vagy ahogy mi fejlesztők szoktuk mondani: a secrets-ekre. Ezeket rossz kezekbe kerülve nem csak az alkalmazásod, de esetleg a felhasználóid adatai is komoly veszélybe kerülhetnek. Ma nézzük át, hogyan kezeljük ezeket a kényes információkat biztonságosan, anélkül, hogy a kódunkba vésetnénk őket örök időkre.

Miért nem lehet egyszerűen a kódba égetni?

Első ötletként sokan azt gondolják, hogy „csak egy API kulcs, berakom egy konstansba, és kész”. Na, ez a klasszikus bukta.

// 🚨 SOHA NE CSINÁLD ÍGY! 🚨
define('DB_PASSWORD', 'superSecret123');
$apiKey = 'sk_live_1234567890';

Mi a probléma ezzel? A titkok a verziókezelődbe (pl. Git) kerülnek. Ha a repository nyilvános, vagy egy kolléga hibázik, már ki is szivárogtak. Ráadásul minden környezetben (fejlesztői, teszt, éles) ugyanazt a jelszót használod. A security nem egy utólag felvarrt folt, hanem a fejlesztés szerves része kell legyen.

Hova tegyük tehát a titkokat?

A válasz rövid: környezeti változókba (environment variables). Ez a gyakorlatban azt jelenti, hogy a kódod csak egy változónevet hivatkozik, aminek a konkrét értékét az operációs rendszer (vagy a futtató környezet) biztosítja. A PHP-ban ez régebben a getenv() függvénnyel, ma már gyakran a $_ENV szuperglobállal történik.

// ✅ Helyes megközelítés
$dbPassword = $_ENV['DB_PASSWORD'];
$apiKey = $_ENV['STRIPE_API_KEY'];

// Kapcsolódás az adatbázishoz
$conn = new mysqli($_ENV['DB_HOST'], $_ENV['DB_USER'], $dbPassword, $_ENV['DB_NAME']);

De várjunk csak! Honnan lesznek ezek a változók beállítva? Fejlesztés közben egy .env fájlt használhatsz, amit kötelezően hozzáadsz a .gitignore-hoz. Éles környezetben pedig a szerver (pl. Apache, Nginx) vagy a konténer orchestrátor (pl. Docker, Kubernetes) konfigurációjában állítod be őket.

A frontend kivétel: ott minden látszik

Itt jön a nagy „óha”: a böngészőben futó JavaScript kódban semmilyen titkot nem tárolhatsz biztonságosan. Ha egy API kulcs a JS-edben van, a felhasználó böngészőjének fejlesztői eszközével bárki megtekintheti. Mit tehetsz akkor?

1. Proxyold a kéréseket a backenden keresztül: A kulcsot a PHP szervereden tárolod, és a frontend csak a saját szerveredet hívja, ami továbbítja a kérést a külső szolgáltatásnak. Ez a legbiztonságosabb. 2. Korlátozott, csak frontend használatra szánt kulcsok: Egyes szolgáltatások (pl. térképes API-k) kiadnak „nyilvános” kulcsokat, amiket domain alapján lehet korlátozni. De ez *nem* titok, és nem használható bizalmas műveletekhez.

// jQuery példa: biztonságos kérés a Saját Backend Proxy-ra
$.ajax({
    url: '/api/proxy/charge', // A SAJÁT szervered végpontja
    method: 'POST',
    data: {
        amount: 1000,
        token: $('#payment-token').val() // Pl. Stripe token
    },
    success: function(response) {
        $('#result').html('<div class="alert alert-success">Sikeres fizetés!</div>');
    },
    error: function() {
        $('#result').html('<div class="alert alert-danger">Hiba történt.</div>');
    }
});

A fenti példa szemlélteti: a Stripe titkos API kulcs (sk_live_...) soha nem hagyja el a PHP backendet. A frontend csak a saját, hitelesített felhasználóval védett végpontodat hívja.

Gyakori buktatók, amikbe mi is beleestünk

* A .env fájl commitolása: Egy emberi hiba, de óriási kárt okozhat. A .env fájlod minta legyen (.env.example), az igazi soha ne kerüljön a Git-be. * Titkok naplózása: Figyelj oda, hogy hibakezeléskor (try-catch) ne írj ki egy teljes kapcsolati stringet a naplófájlodba vagy a képernyőre. Egy catch blokkban ne tedd ki a $e->getMessage()-t élesben, ha az tartalmazhat titkokat. * Konfigurációs fájlok helytelen jogosultságai: Az éles szerveren a .env vagy egy config.php fájlnak korlátozott olvasási jogosultsággal kell rendelkeznie (pl. csak a webserver felhasználó olvashassa). * „Éles” kulcsok fejlesztéshez használata: Mindig legyen külön kulcsod fejlesztéshez, teszteléshez és éles rendszerhez. Így ha egy teszt kulcs kiszivárog, az éles rendszered sértetlen marad.

Egy példa: SCSS/Bootstrap segítségével jelezzük a biztonságos státuszt

A biztonság nem csak a backend dolga. Egy világos, felhasználóbarát felület is hozzájárul a megbízhatóság érzetéhez. Használhatod például a Bootstrap alert komponenseit, de saját SCSS stílusokkal kiemelve.

// _security.scss részlet
.security-badge {
    @extend .badge; // Bootstrap osztály
    font-size: 0.8rem;
    font-weight: 600;

    &--safe {
        background-color: mix(green, white, 60%);
        color: darken(green, 15%);
        border: 1px solid darken(green, 10%);
    }

    &--warning {
        background-color: mix(orange, white, 60%);
        color: darken(orange, 25%);
        border: 1px solid darken(orange, 15%);
    }
}
<!-- Használat a HTML/JavaScript-ben -->
<div class="mt-3">
    <p>Kapcsolat állapota: <span id="conn-status" class="security-badge security-badge--safe">Biztonságos</span></p>
    <button id="check-keys" class="btn btn-outline-primary btn-sm">Kulcsok ellenőrzése</button>
</div>


$('#check-keys').on('click', function() {
    // Szimuláljuk a háttérbeli ellenőrzést
    $('#conn-status')
        .removeClass('security-badge--safe')
        .addClass('security-badge--warning')
        .text('Ellenőrzés...');
    // Itt meghívnánk a backend API-t a kulcsok állapotának lekérdezésére
});

Összegzés: A titkok nem titok, hanem felelősség

A jelszavak és API kulcsok biztonságos kezelése nem egy bonyolult varázslat. A lényeg: soha ne tárgyalj meg semmit a kódban, használj környezeti változókat, és mindig gondolj arra, hogy a frontend kód látható. A fenti módszerek – a környezeti változóktól a backend proxykon keresztül – a modern fejlesztés alapvető gyakorlatai. Kezeld a titkaidat olyan gondosan, ahogyan a saját kódodat is kezelnéd, mert végső soron egy alkalmazás biztonsága ezen a látszólag apró részleten is múlik. Legközelebb, amikor egy új szolgáltatás integrálásánál kapsz egy kulcsot, állj meg egy pillanatra, és kérdezd meg magadtól: „Na, és ezt most hova tenném a legbiztonságosabban?”

Kapcsolódó cikkek