IP estático para allowlist de API: um IPv4 fixo em que seus parceiros podem confiar

Por que APIs e firewalls pedem um IP estático?

APIs e firewalls pedem um IP estático porque um endereço de origem conhecido é uma segunda verificação simples além de uma chave ou senha. Se uma chave vazar, uma requisição de um endereço desconhecido ainda é recusada.

Locais comuns que usam uma allowlist de IP:

• APIs de parceiros e fornecedores: logística, estoque, catálogos de atacado e feeds de dados.
• Dashboards B2B que aceitam login apenas dos endereços cadastrados de um cliente.
• Firewalls de nuvem e security groups que abrem SSH, uma porta de banco de dados ou um painel de administração para IPs listados.
• Servidores de staging e preview que não deveriam ser públicos.
• Consoles de administração de SaaS com uma configuração opcional de "IPs confiáveis".

Conexões residenciais e de escritório costumam mudar de endereço, e funções de nuvem ou runners de CI usam faixas compartilhadas e mutáveis. Um IP alugado dá a todos eles uma saída estável.

Quais duas allowlists estão envolvidas?

Duas allowlists diferentes se encontram nesta configuração, e confundi-las é a dúvida de suporte mais comum.

Se suas máquinas têm endereços mutáveis, ignore a allowlist de proxy e use o nome de usuário e a senha. Nome de usuário e senha, ou uma lista de IPs permitidos (até 10 IPs).

Como faço para rotear chamadas de API pelo IP estático?

Roteie chamadas de API pelo IP estático configurando-o como proxy HTTP(S) ou SOCKS5 do cliente que faz a chamada da API. A maioria das bibliotecas HTTP, o curl e muitas ferramentas leem uma configuração de proxy ou a variável de ambiente HTTPS_PROXY. Primeiro confirme o endereço de saída com um serviço público de echo, depois chame a API do parceiro. Os endereços abaixo são exemplos de documentação; seu IP, porta e credenciais reais estão na sua conta.

# 1. The address the partner will see
curl -x http://USERNAME:[email protected]:8000 https://api.ipify.org

# 2. Same proxy for every tool in this shell
export HTTPS_PROXY=http://USERNAME:[email protected]:8000
curl -H "Authorization: Bearer $PARTNER_TOKEN" https://example.com/api/v1/orders

O que acontece com a allowlist quando o aluguel termina?

A allowlist continua funcionando enquanto você mantiver o mesmo IP, então renove antes da data de término. Cada aluguel dura 30 dias a partir da entrega. Renove na sua conta antes da data de término; manter os mesmos IPs após o fim do aluguel não é garantido.

Uma rotina segura para acesso com allowlist:

1. Alugue dois IPs, não um. Passe os dois endereços ao parceiro. Se um tiver que ser substituído, o outro mantém a integração funcionando.
2. Anote a data de término exibida ao lado de cada IP na sua conta e renove alguns dias antes.
3. Tenha em mãos o processo de alteração do parceiro. Saiba quem atualiza a allowlist deles e quanto tempo leva.
4. Teste após cada renovação com a chamada de echo acima.

Se um IP não funcionar ou for inutilizável para uma finalidade lícita, escreva para o suporte: nós corrigimos ou substituímos por um IP no mesmo país, sujeito ao estoque. Um IP substituto é um novo endereço, então precisa de uma nova entrada na allowlist.

Quando um IP de proxy alugado é a escolha errada?

Um IP de proxy alugado é a escolha errada quando o serviço que você quer acessar está na nossa lista de bloqueio ou precisa de um endereço permanente. Sites de bancos, órgãos governamentais e portais de pagamento são bloqueados em todos os IPs, então allowlists de APIs bancárias e de pagamento não são um uso que suportamos.

Considere outras opções também quando:

• Você roda seus próprios servidores na nuvem: um endereço estático do seu provedor de nuvem, atrelado ao seu próprio gateway NAT, mantém o tráfego dentro da sua infraestrutura.
• Você precisa de IPv6: Apenas IPv4. Proxies IPv6 ainda não são vendidos.
• Você precisa do mesmo endereço por anos: um aluguel de 30 dias pode ser renovado, mas não é uma atribuição de endereço que você possui.