IP allowlist

हर API कुंजी के लिए अलग IP allowlist सेट की जा सकती है, ताकि केवल निर्धारित source IP से आने वाले अनुरोध ही उस कुंजी का उपयोग कर सकें।

कब उपयोग करें

यह fixed outbound IP वाले production server deployment के लिए उपयोगी है। यदि आपका application home network, mobile network या बदलते पते से अनुरोध भेजता है, तो पहले सुनिश्चित करें कि outbound IP स्थिर है; वरना आप खुद को बाहर lock कर सकते हैं।

कैसे सेट करें

इस पेज पर /keys खोलें, संबंधित कुंजी के "⋯" menu में "IP allowlist" चुनें, entries डालें और save करें।

वैकल्पिक रूप से, signed-in session या Management API key के साथ PATCH /api/v1/keys/:id का उपयोग करें:

1
2
3
4
5
6
7
8
9
10
11
12
13
PATCH https://api.bazaarlink.ai/v1/keys/KEY_ID
Authorization: Bearer sk-bl-YOUR_MANAGEMENT_KEY
Content-Type: application/json

{
"allowedCidrs": [
  "203.0.113.7",
  "198.51.100.0/24"
]
}

# Clear the allowlist and return to unrestricted access
{"allowedCidrs": []}

Entry format

UI में हर line पर एक value डालें। API में इन्हीं values को `allowedCidrs` array में भेजें। Bare IPv4 address, IPv4 CIDR या IPv6 literal (केवल exact match) स्वीकार किए जाते हैं।

1
2
3
203.0.113.7
198.51.100.0/24
2001:db8::1

व्यवहार

खाली छोड़ने (empty [] array भेजने) का अर्थ है सभी source IP को अनुमति देना। यह default है; मौजूदा कुंजियों का व्यवहार नहीं बदलता।

Source IP `cf-connecting-ip` header से लिया जाता है।

यदि list खाली नहीं है लेकिन source IP resolve नहीं हो पाता, तो request अस्वीकार कर दी जाती है (fail-closed)।

⚠️ महत्वपूर्ण: अस्वीकृति केवल सामान्य 401 लौटाती है

List से बाहर के IP या resolve न हो सकने वाले source IP वाली request को invalid key जैसा ही सामान्य HTTP 401 मिलता है; कोई अलग error message नहीं होता। यह जानबूझकर किया गया security design है, ताकि चुराई हुई key वाला व्यक्ति allowlist के अस्तित्व का पता न लगा सके। इसकी कीमत यह है कि गलत configuration invalid key जैसी ही दिखती है और debug करना बहुत कठिन होता है। Save करने से पहले सुनिश्चित करें कि आपके server का outbound IP list में मौजूद है।

⚠️ महत्वपूर्ण: IPv6 में केवल exact string match समर्थित है

IPv6 के लिए subnet calculation नहीं होती; address string बिल्कुल समान होनी चाहिए। यदि IPv6 address बदलता रहता है, तो आप बाहर lock हो सकते हैं। /0–/32 CIDR ranges केवल IPv4 के लिए समर्थित हैं।

सेटिंग कब लागू होती है

PATCH या UI save सफल होने के बाद update करने वाला instance अपना cache तुरंत साफ करता है। सामान्य स्थिति में अन्य instances लगभग 15 seconds के भीतर sync हो जाते हैं। साझा Redis अस्थायी रूप से unavailable होने पर instances के बीच invalidation तुरंत नहीं पहुँच सकती और एक घंटे की cache TTL तक देरी हो सकती है।