API ключът е парола, която не изтича и която никой не наблюдава. Отнасяйте се към него по съответния начин.
Давайте му само това, от което се нуждае
Създавайте по един ключ за всяка интеграция, само с разрешенията, които тя използва. Скриптът за внедряване не се нуждае от достъп до фактурирането, а инструментът за мониторинг няма нужда да изтрива сайтове. Когато нещо се обърка, ограниченият ключ свежда щетите до минимум.
Дръжте го далеч от кода си
Никога не качвайте ключ в хранилище — независимо дали е публично, или частно. Хранилищата биват разклонявани, клонирани, архивирани и погрешно споделяни, а сканиращите инструменти откриват ключове в тях минути след качването. Използвайте променлива на средата или хранилището за тайни на вашия CI доставчик.
Ротирайте, вместо да се тревожите
Ако ключ е бил поставен в чат, запитване, екранна снимка или лог, заменете го. Създайте новия ключ, превключете интеграцията към него и след това изтрийте стария — в този ред, за да не се прекъсне нищо междувременно. Това отнема минута и напълно премахва съмненията.
Наблюдавайте какво правят
Всяко извикване от даден ключ се появява в Activity с неговото име. Ако ключ, който сте смятали за премахнат, все още прави извиквания, това ви показва нещо, което си струва да знаете.
Изтриване
Изтриването на ключ влиза в сила незабавно. Всичко, което го използва, започва да получава 401, което всъщност е целта.