API kodu güvenliği nasıl sağlanır?

Herkese merhaba arkadaşlar, ios için mobil uygulama geliştiriyorum. "replicate" den aldığım api ile işlem yaptıracağım.
Cursor'a api yi ekle dediğimde "güvenlik sebebi ile api kodunu uygulama içine ekleme" (daha uzun yazdı da özeti bu) diye bir yazı çıktı.
Ne yapmam lazım dediğimde "cloudflare" içine koyabilirsiniz porxy bağlantı olacak vs. tarzı bir yazı çıktı.

Uygulamam için API kodunun güvenliğini nasıl sağlayabiliriz?
Api kodu maliyeti var zaten ilave cloudflare'ye ödeme yapmak istemiyorum.
Farklı bir yol arıyorum o yüzden.
Ücretsiz yada uygun fiyatlı şekilde durumu nasıl çözebilirim?

Crc32 ve kendinize özel hash oluşturup algoritmayı değiştirin hocam. İstekleri başka bir Server a White list üzerinden alıp içeride çözdürün.

Bir sunucuda saklayin api yi , istek sunucuya gitsin ordan replicate ve geri donuste ayni sekilde

firebase cloud functions inceler misiniz (ücretsiz aylık limit veriyor ve o kullandığınız kadar ödüyorsunuz sonrasında)

Öncelikle bu işin kolay yolu yok. Üstteki arkadaşın dediği gibi bir backend kurup oraya istek atıp sadece output'u frontend'e döndüreceksiniz. En güvenli yol uygulamanın sadece kullanıcıya görünen yüz olması ve hiçbir işlemi burada yapmamaktır. Şöyle uygulama içinde şifreleyeyim, böyle şifreleyeyim bilmem ne hiçbir yol kesin çözüm değil, sadece saldırganı yavaşlatır. He tabi backend'e istek atarken de backend üzerinde jwt ile doğrulamak en doğrusu. Ayrıca rate limitler, ip bazlı kontroller de şart. Yani işiniz uzun bir tık hocam. Öyle direkt api keyi koyayım gitsin derseniz olabilir tabii, fakat yüksek ihtimalle çalınır. Bir vds/vps alıp oraya fastapi gibi araçlarla direkt olarak api kurmak en iyisidir. Diğer tüm aracı çözümler sadece bana kalırsa işi yavaşlatıyor ve esnekliği çöp ediyor.

Bu söylediklerinizi araştırırım ama yapacak bilgiye sahip değilim. Cursor'a cevaplarınızı yazıp ne yapmam gerektiğini açıklarsa birşeyler yapabilirim.
Bilmediğim için soruyorum; cursor'a gerekli yazılımı yazdırıp kendi resellerim de bulundursam api'yi olmaz mı?
Teşekkürler.


Cursor seçenekler arasında firebase cloud'a yer vermişti. Dün akşam baktım fakat işlemleri tam yapamadım firebase tarafında. Özel bir yazılım yada server olmadan firebase daha mantıklı gelmeye başladı.
Bu akşam daha detaylı araştırıp öğreneyim. Teşekkürler


Diğer arkadaşlara söylediğim gibi bu işlemleri yapacak bilgi ve yeteneğe sahip değilim maalesef
Firebase yada cloudflare ödemesini yapıp kullanmak daha hızlı olacak gibi.
Teşekkürler.

Aslında api yi uygulama içine ekledim ve uygulama sorunsuz çalışıyor. Fakat api'yi çalıp başka biri kullandığı takdirde anlamam imkansız ve büyük maliyete yol açabilir kullandıkları için.

Cloudflare ve firebase dışında farklı bir seçenek var mıdır?

Hocam, siz herhangi bir arkaplana yani kendi serverınız, functions vs. istek atsanız da yine o url public. Siz bunu bir jwt ile korumadığınız sürece oraya her türlü istek atılacak yani. Siz yine bunu ben arkaplana verdim bitti ile pek çözemezsiniz. Tamam api keyiniz ön yüzde artık yok, e tamam da bu sefer functions public url ile açık? jwt olmadan onu nasıl koruyacaksınız? Bu işlerle zamanında o kadar çok uğraştım ki zamanla öğrendim artık. Daha önce birkaç kere key çaldırıp, bana da zor geldiği için ön yüze api keyi koyduğum için çok sorun yaşadım zamanında Şimdi bir yola çıkarken veritabanı, api keyler vs. var ise mutlaka bir backend ile koruma sağlayıp önce güvenlik önlemlerini alıyorum. Bence işi aceleye getirmek yerine bunu öğrenin önce ama tabii siz bilirsiniz

Biraz önce düşündüğüm sorunun cevabını vermişsiniz yazdığınızı yanlış anlamadıysam uygulama içinden resellerime functions ile istek atsam bile o functions'a istek atan herkese yine sonuç dönecek. O da güvenli olmuyor.
Api yi günlük değiştirsem nasıl olur uğraşmayı bırakır vicdana gelir belki çalmak isteyen kişi

Firebase ve cloydflare de kesin olarak güvenli saklanır mı peki hocam? Artık maliyetine bakmadan bunlardan birini kullanırım diye düşünüyorum.