Comment implémenter une clé API sur un logiciel PHP?

Question

Je distribue un plugin créé par PHP comme un plugin Wordpress mais je veux implémenter une clé API pour cela et les utilisateurs devraient entrer une clé API pour le débloquer afin qu'il fonctionne.

Comment cela peut-il être fait? Et oui je sais déjà qu'il pourrait être facilement contourné puisque PHP n'est pas compilé mais au moins il va décourager certaines personnes n'ayant aucune connaissance en PHP.

Merci ..

Answer 1

Vous pouvez brouiller le code source avec la clé API. Cryptez une partie essentielle du code source (par exemple en utilisant libmcrypt) et demandez au script de charger et de déchiffrer la source. Bien sûr, quelqu'un qui trouve la routine appropriée pourrait alors facilement vider la source sur le disque et l'utiliser à la place, mais ce ne sera pas aussi trivial que de supprimer une vérification.

Answer 2

Si vous ne vous souciez pas de supprimer votre chèque, il vous suffit d'ajouter une instruction if qui valide si la clé de licence configurée est valide ou non. J'ai remarqué que vous avez mentionné que vos clés de licence étaient simplement des hachages SHA1. Vous pouvez facilement ajouter 4 caractères supplémentaires au hachage, que vous pouvez utiliser comme somme de contrôle.

Par exemple:

function generate_key() 
{ 
    $serial = sha1(uniqid(rand(), true)); 
    $checksum = substr(md5($serial), 0, 4); 
    return $serial . $checksum; 
} 

function verify_key($key) 
{ 
    $serial = substr($key, 0, 40); 
    $checksum = substr($key, -4); 
    return md5($serial, 0, 4) == $checksum; 
} 

Ceci est un exemple très simple, mais il est tout simplement pédagogique. Essentiellement, vous devez valider si la clé de licence est valide sur le serveur de l'hôte au lieu de faire un ping sur un script sur votre serveur. L'inconvénient de ceci est que n'importe qui serait capable de générer une clé valide en ouvrant le code source et en trouvant le validate_key.

Vous pourriez l'avoir appeler un script externe pour faire le verify_key, mais cela en vaut-il vraiment la peine? En outre, vous allez sacrifier le temps de chargement de la page pour vérifier la clé. Je me souviens de vBulletin ayant un système de licence très facile à cracker, mais ils avaient une image 1x1 cachée dans quelques sections qui ping un script sur leur domaine. En utilisant les journaux, ils ont pu déterminer quels domaines hébergeaient des copies illégales de leur logiciel et ils ont simplement envoyé une lettre d'avocat à l'administrateur.

Si vous vouliez une solution plus robuste, je suggérerais peut-être de regarder dans Zend Guard, mais vous semblez ne pas se soucier des gens qui craquent votre logiciel alors personnellement, je voudrais simplement aller aussi simple que possible.

Answer 3

Je ne pense pas que vous compreniez ce qu'est une clé API.

Une clé API est une clé qui vous permet, à vous ou à un script, d'accéder et d'interagir avec une API ou un service en ligne. Ce que vous semblez décrire est une sorte de clé de licence, qui empêcherait un utilisateur d'utiliser votre script sans peut-être payer ou s'inscrire.

Alors qu'une clé API souvent nécessite un paiement ou un enregistrement, les deux ne sont vraiment pas la même chose.

Les clés API sont généralement mises en place pour suivre l'utilisation et empêcher l'utilisation abusive de services et de données en ligne.

Il semble que dans votre cas, vous essayez simplement de restreindre l'accès à votre script.

À moins que votre script ne dépende fondamentalement d'une source de données distante, cette méthode ne fonctionnera pas car tout utilisateur ayant une connaissance lointaine de PHP supprimera simplement le code qui effectue la validation.

Avec PHP, il en va de même pour une clé de licence. L'utilisateur trouvera un moyen de le contourner, à moins qu'il n'en ait besoin pour le script.

La validation doit être effectuée à distance, et il doit y avoir une incitation à la laisser en contact (l'accès aux données à distance étant le plus évident).

Answer 4

C'est absolument inutile. Comme son php vous devez envoyer le code source et tout utilisateur peut simplement supprimer le code de vérification de licence et l'exécuter. Les personnes qui n'aiment pas jouer avec les clés de licence, à moins que vous ne soyez vraiment, vraiment utile, désirable ou essentiel, trouveront une alternative sans clé de licence ou ne s'en soucieront pas.