لا تضع مفتاح الـ API في المتصفح أبداً

الخلاصة بالعربية

• المفتاح لا يغادر الخادم أبداً؛ المتصفح يكلّم نقطتك وهي تكلّم المزوّد.
• احجب البيانات الشخصية قبل خروج الطلب، ولا تعتمد على التعبيرات النمطية وحدها.
• حدّان للمعدّل: نافذة قصيرة تمنع الاندفاع، وسقف يومي يحدّ أسوأ فاتورة ممكنة.
• عامل مخرجات النموذج كمدخلات غير موثوقة: نصاً لا HTML، ومع تنقية صارمة عند الحاجة للتنسيق.
• سجّل النص بعد الحجب فقط، مع تحديد مدة الاحتفاظ.

هذا المقال مكتوب بالإنجليزية ↓