Node.js permette una rapida implementazione di API REST sfruttando il framework Express ma, ad oggi, la sicurezza in servizi remoti riveste un’importanza cruciale. Una delle possibilità più importanti per blindare i propri servizi è applicare uno strato di crittografia alla comunicazione aderendo al protocollo HTTPS, una volta caratteristica quasi esclusiva dei portali di home banking, oggi sempre più diffuso in ogni tipo di “dialogo” tra applicazioni attraverso Internet.

Come siamo abituati, Node.js offre già praticamente tutto il necessario: quello su cui dobbiamo lavorare per prima cosa è la definizione di un certificato digitale per il nostro server. Per le soluzioni in produzione, sarebbe necessario acquistarne uno validato da una Certification Authority, ma a scopo di debug o per soluzioni ad uso interno va benissimo uno self-signed: garantirà comunque le funzioni di crittografia ma non sarà garantito da nessun Ente di rilevanza mondiale.

Lo prepariamo con OpenSSL conducendo questo esperimento su una macchina Linux: come si immagina, si può fare altrimenti in base ai sistemi di cui si è dotati.

Generiamo una chiave, per prima cosa:

openssl genrsa -out privkey.pem 1024

che troveremo nel file privkey.pem (il formato .pem è tipicamente dedicato alla conservazione di chiavi e certificati).

Produciamo con la chiave una richiesta di certificato, fase in cui sarà necessario rispondere ad alcune domande:

openssl req -new -key privkey.pem -out myserver.csr

Ed infine creiamo il certificato pubblico utilizzando la richiesta appena prodotta:

openssl x509 -req -days 366 -in myserver.csr -signkey privkey.pem -out pubcert.pem

I file pubcert.pem e privkey.pem serviranno nel nostro script per Node.js dove, per il resto, conoscendo un pò l’ambiente, c’è davvero poco da spiegare:

  var fs = require('fs'),
    https = require('https'),
    express = require('express'),
    app = express();

    https.createServer({
      key: fs.readFileSync('privkey.pem'),
      cert: fs.readFileSync('pubcert.pem')
    }, app).listen(6789);

    app.get('/', function (req, res) {
      res.header('Content-type', 'text/html');
      return res.end('<h1>Ciao Mondo ... su HTTPS</h1>');
    });

Nella prima fase, richiediamo i framework necessari, poi avviamo il server sulla porta 6789 fornendogli chiave e certificato ed infine definiamo la nostra API di esempio.

Per provarlo si potrà contattare con il browser l’indirizzo https://localhost:6789: saremo avvisati che il certificato non è garantito da una CA conosciuta (infatti l’abbiamo firmato noi) ma la crittografia sarà garantita.

Abbiamo visto un altro esempio in cui Node.js dimostra la ricchezza di potenzialità nel giro di pochissime righe di codice: voi avete mai provare a creare il vostro server HTTPS con o senza Node.js ? Commentate e diteci!