Ciao a tutti,

Stavo pensando a come si potrebbe implementare un servizio API che validi la licenza di un software client.
Mi spiego meglio

API-Server
detiene un codice licenza e la data di scadenza

Software Client
Invia una chiamata di verifica ad API-Server inviando il suo codice, il server API Risponde OK o OK in base alla scadenza.
Software client se OK continua, se KO emette avviso licenza scaduta.

Questo è l'idea di base, non mi vengono in mente altri controlli che posso fare.

2 Problemi
1 - Mancanza di connettività, verifico con retries di 1 settimana, poi fattacci suo se non è su internet (parto dal presupposto che API-Server deve essere sempre online)

2 - Verificare autenticità Api-Server
Questo ci sto pensando da qualche giorno.
Poniamo il caso che il client modifichi il suo file.host e che venga instaurato un API-SERVER fittizio che emuli la risposta.
Come posso impedire questo?
Potrei annegare nella risposta un stringa secret che vado a verificare e ponendo che la comunicazione avvenga su https, il contenuto non può essere ispezionato con man in the middle e di conseguenza potrei essere sicuro che quello che mi sta rispondendo sia il mio server.

Che dite, Pareri?
Soluzioni alternative che non riesco a vedere?

Ciao
Paolo