平臺功能-應用安全保障設置
一、產品介紹
應用通過用戶授權調用TOP提供的API可以獲取和操作用戶、商品、訂單等數(shù)據(jù)，為了防止這些數(shù)據(jù)泄露和惡意篡改，TOP提供保障應用安全的一系列服務。這些服務包括：敏感操作保護、設置IP白名單、服務器host在萬網、黑盒漏洞掃描、設置授權用戶數(shù)、API調用監(jiān)控和用戶授權監(jiān)控。根據(jù)這些服務收集到的數(shù)據(jù)構建應用的安全指數(shù)，統(tǒng)一衡量應用的安全狀況。
二、產品詳情
1、服務詳情
| 序號 | 服務名稱 | 服務簡介 | 詳情 | 入口 |
| 1 | 敏感操作保護 | 對開放平臺操作的保護，在查看或重置Secret，修改回調URL，刪除應用時需二次驗證。 | 點此查看詳情 | 開發(fā)者中心->安全中心->敏感操作保護，如下圖：
|
| 2 | 設置IP白名單 | 供開發(fā)者設置服務器的IP白名單。設置后，該AppKey只允許在IP白名單范圍內的服務器IP過來調用API，非白名單IP無法調用API。比如，即使AppKey 和Secret 被盜，如果盜用者不是從您的服務器IP發(fā)起的API調用請求，則會被TOP拒絕。 報錯信息如下：
<code>11</code> <msg>Insufficient isv permissions</msg> <sub_code>isv.permission-ip-whitelist-limit</sub_code> <sub_msg> The appkey 123456789 is only allowed to call from *.*.*.*, but your ip is #.#.#.# </sub_msg> </error_response>
| 點此查看IP白名單列表 | 1、開發(fā)者中心->安全中心->IP白名單設置，如下圖：
2、開發(fā)者中心->應用頁面左側，如下圖：
|
| 3 | 服務器host在萬網 | 中國萬網為淘寶開放平臺ISV用戶提供專屬定制的云主機，與淘寶使用相同的機房環(huán)境及線路，與淘寶網的內網互聯(lián)，默認符合淘寶對主機的安全要求。通過將服務器host在萬網，保障服務器的安全性。 | 點此查看詳情 | 開發(fā)者中心->應用頁面左側，如下圖：
|
| 4 | 黑盒漏洞掃描 | 通過TOP主動監(jiān)控，幫助ISV發(fā)現(xiàn)應用的缺陷，提升應用品質。 | 點此查看詳情 | 開發(fā)者中心->監(jiān)控中心->缺陷列表，如下圖：
|
| 5 | 設置授權用戶數(shù) | 應用面向不同數(shù)量的用戶群體，對應的安全級別會不同。 | 開發(fā)者中心->應用頁面左側，如下圖：
| |
| 6 | API調用監(jiān)控 | 根據(jù)應用采取的安全措施，決定應用調用API時訪問的范圍不同。 | 系統(tǒng)監(jiān)控 | 無 |
| 7 | 用戶授權監(jiān)控 | 對應用的授權用戶數(shù)突增突降進行監(jiān)控 | 系統(tǒng)監(jiān)控 | 無 |
2、查看應用安全指數(shù)
1、管理證書頁面
點擊“應用管理”- “管理證書”
2、安全服務頁面
點擊“安全中心“ - ”應用健康指數(shù)“
3、查看應用安全服務
安全服務頁面
點擊“安全中心“ - ”應用健康指數(shù)“
三、規(guī)則
應用安全等級計算公式如下：
其中：
1.TAE目前只向店鋪模塊應用開放。
2.IP白名單的設置在：開發(fā)者中心->安全中心->IP白名單設置
3.使用用戶SDK是指：
a.B/S應用需要在用戶使用的每個頁面（推薦是公共的頁頭）添加用戶SDK用于驗證用戶使用行為，不使用此用戶SDK的將被平臺視為無用戶操作使用的應用。
用戶SDK如下：
<script type="text/javascript" src="http://a.tbcdn.cn/apps/isvportal/securesdk/securesdk.js" id="J_secure_sdk_script" data-appkey="xxxxxxx"></script>（其中xxxxxx換成自己的appkey即可）
b.C/S應用暫不影響。
4.安全漏洞見：開發(fā)者中心->監(jiān)控中心->缺陷列表
2、授權用戶數(shù)與應用標簽關系
應用標簽 | 創(chuàng)建時默認規(guī)則 | 發(fā)布服務審核通過前 | 發(fā)布服務審核通過后 |
淘寶客網站 | 只能自己使用 | 只能自己使用，不可選擇小部分和所有人使用 | 只能自己使用 |
無線買家應用 | 小部分人使用 | 可選擇自己用和小部分人使用，不可選擇所有人使用 | 三個范圍都可選擇 |
買家應用 | 小部分人使用 | 可選擇自己用和小部分人使用，不可選擇所有人使用 | 三個范圍都可選擇 |
在線訂購應用 | 小部分人使用 | 可選擇自己用和小部分人使用，不可選擇所有人使用 | 三個范圍都可選擇 |
店鋪模塊應用 | 小部分人使用 | 可選擇自己用和小部分人使用，不可選擇所有人使用 | 三個范圍都可選擇 |
商家后臺系統(tǒng) | 小部分人使用（5個人） | 可選擇自己用和小部分人使用，不可選擇所有人使用 | 不可選擇所有人使用 |
安全等級相關內容請參見文檔：
//open.taobao.com/doc/detail.htm?id=1002#s2
四、安全規(guī)范
為了保證開放平臺上應用的安全性，我們制定了詳細的應用安全規(guī)范，要求所有接入淘寶開放平臺的第三方應用必須嚴格遵守。具體安全規(guī)范內容請參見文檔：
//open.taobao.com/doc/detail.htm?spm=a219a.7386797.0.0.bBwnPn&id=813
FAQ
- 關于此文檔暫時還沒有FAQ