Что такое лицензионный ключ ПО?
Лицензионный ключ ПО — это строка символов, которая доказывает, что конкретная установка вашей программы имеет право работать — как правило, привязанная к покупке, аккаунту или конкретному устройству. Это механизм, превращающий «кто угодно с установщиком может пользоваться этим вечно» в «пользоваться может только тот, кто заплатил». Сам ключ обычно ничего не значит — на вид случайная строка вроде SLK-7X9K-2MPQ-R4WT-BH3N — его сила в том, что его проверяет: сервер, способный подтвердить, что ключ действителен, не превышает лимит активаций и привязан к нужному продукту. Ключ, который никто не проверяет, — это просто пароль, у двери которого никто не стоит.
Как лицензионный ключ работает на самом деле?
Есть два момента, когда лицензионный ключ имеет значение: активация и проверка. Активация происходит один раз — клиент вводит ключ, приложение обращается к серверу лицензий, сервер подтверждает, что ключ действителен и не превышает лимит устройств, а затем фиксирует, что именно это устройство (обычно через аппаратный отпечаток) теперь активировано. Проверка происходит при каждом последующем запуске — приложение убеждается, что активация всё ещё действительна, либо снова обращаясь к серверу, либо, что лучше, проверяя подписанный лиз (lease), сохранённый локально после последней успешной онлайн-проверки, — так приложение продолжает работать офлайн в течение заданного окна (обычно 3-7 дней) без подключения к интернету. Подпись имеет значение: обычный локальный флаг в файле может отредактировать кто угодно в текстовом редакторе, а вот криптографически подписанный лиз (Ed25519 — современный стандарт для этого) можно проверить на подлинность без обращения к сети, но подделать его без приватного ключа, который никогда не покидает ваш сервер, нельзя.
Лицензионный ключ vs product key vs серийный номер: в чём реальная разница?
В обиходе их постоянно путают, но у них разное происхождение, а иногда и разный смысл — в зависимости от того, кто использует термин:
Лицензионный ключ
Современный, общий термин — как правило, привязан к аккаунту или покупке, проверяется на живом сервере и часто может быть отозван. Именно это сегодня в основном имеют в виду под лицензированием большинство SaaS- и инди-программ.
Product key
Исторически использовался для коробочного/розничного софта (Windows, Office) — ключ, вводимый один раз при установке, часто проверяемый только один раз и редко после этого.
Серийный номер
Самый старый из трёх терминов — изначально просто уникальный идентификатор для каждой проданной копии, часто вообще без серверной проверки, из-за чего серийники так легко утекали и распространялись.
Ключ активации
На самом деле не отдельная категория — обычно просто другое название для одного из вышеперечисленных, используемое конкретно для разблокировки/активации копии при первом запуске.
Типы лицензионных ключей
Какой тип вам нужен, полностью зависит от того, как вы продаёте и кто использует ваш софт:
| Type | How it works | Best for |
|---|---|---|
| Привязка к одному устройству (node-locked) | Один ключ — одно устройство. Активация на втором устройстве либо не проходит, либо деактивирует первое. | Десктопные приложения, продаваемые частным лицам — самая распространённая модель для инди-софта. |
| Floating / по местам | Пул из N одновременных активаций, разделяемый командой; место освобождается, когда кто-то деактивируется или уходит офлайн. | B2B-инструменты, продаваемые командам, а не отдельным пользователям. |
| Подписка / ограниченная по времени | Ключ (или аккаунт за ним) перестаёт успешно проверяться после окончания billing-периода, независимо от устройства. | SaaS и продукты с регулярным доходом — естественно сочетается со Stripe и подобными системами. |
| Пробный ключ | Успешно проходит проверку в течение фиксированного окна (7/14/30 дней) с момента первой активации, затем перестаёт — отдельная логика, а не просто платный ключ с таймером, который никто не контролирует. | Дать людям попробовать перед покупкой, не отдавая платный продукт бесплатно. |
Строить собственную систему лицензирования или использовать сервис?
Строить самому
Вполне реально, и многие разработчики так и делают — но «просто проверить ключ» незаметно превращается в базу данных ключей и активаций, API, который приложение может вызывать откуда угодно, способ отозвать ключ (чарджбэки, мошенничество, возвраты случаются), и логику пробного периода, которую нельзя сбросить простой переустановкой. Ничто из этого нельзя безопасно оставить только внутри приложения, поскольку достаточно упорный пользователь рано или поздно пропатчит любую чисто офлайн-проверку. Стоит всё это перечислить — и становится ясно, что это небольшой бэкенд-сервис, которым вы теперь владеете навсегда — хостинг, аптайм, поддержка — ради функции, которая не является вашим настоящим продуктом.
Использовать сервис лицензирования
Облачный API лицензирования (SublimeKeys — один из примеров) даёт вам эндпоинты activate/verify/deactivate, панель для выпуска ключей вручную или автоматически при каждой продаже, офлайн-проверку через подписанные лизы и отзыв ключей — без необходимости что-либо хостить самому. Компромисс прост: небольшая регулярная плата (часто с бесплатным тарифом для старта) взамен на то, что вы больше никогда не будете трогать кодовую базу лицензирования. Для большинства инди-разработчиков настоящий продукт стоит их времени больше, чем повторное изобретение этого конкретного колеса.
Частые ошибки лицензирования у инди-разработчиков
Проверка ключа только один раз, при установке
Без постоянной проверки один общий ключ плюс один слитый установщик означают неограниченные бесплатные копии навсегда.
Отсутствие офлайн-сценария
Системы, проверяющие только онлайн, блокируют платящих клиентов в момент, когда пропадает Wi-Fi — это порождает тикеты в поддержку, а не безопасность.
Неподписанные локальные файлы лицензии
JSON-файл на диске с {"licensed": true} — это не проверка лицензии, а просто предложение, которое можно отредактировать в Блокноте.
Отсутствие механизма отзыва
Без способа аннулировать конкретный ключ один чарджбэк или один слитый ключ невозможно аккуратно отменить.
Пробный период как таймер, а не как состояние
Пробный период, который просто проверяет «дней с установки», сбрасывается при переустановке; настоящая логика триала должна жить на сервере.
Часто задаваемые вопросы
Нужна ли система лицензионных ключей для бесплатного приложения?
Нет — лицензионные ключи существуют именно для ограничения платного доступа. Бесплатному приложению нечего проверять.
Можно ли взломать лицензионный ключ?
Любую проверку, работающую целиком на устройстве пользователя, рано или поздно может убрать достаточно упорный человек — реалистичная цель не в том, чтобы сделать это невозможным, а в том, чтобы поднять порог усилий выше того, что требуется для случайного распространения, при этом дав платящим клиентам плавный, ничем не осложнённый опыт.
В чём разница между активацией и проверкой?
Активация происходит один раз, когда ключ впервые используется на устройстве. Проверка происходит при каждом последующем запуске, подтверждая, что активация всё ещё действительна.
Могут ли лицензионные ключи работать без интернета?
Да, если система поддерживает офлайн-проверку — как правило, через криптографически подписанный лиз, сохранённый локально после последней успешной онлайн-проверки и действительный в течение заданного окна (дни, а не бессрочно).
Это то же самое, что DRM?
Связано, но не идентично — DRM обычно подразумевает более глубокие технические ограничения (шифрование, аппаратные блокировки). Система лицензионных ключей может быть лёгкой (просто проверка при запуске) без остальных элементов, которые обычно подразумевает DRM.
About
Patrick Chen — инди-разработчик, стоящий за Sublimearts.io. Создал SublimeKeys после того, как написал точно такой же код проверки лицензии для ReelNox Studio и понял, что каждый другой инди-разработчик, продающий платный софт, решает ту же самую задачу с нуля.