Klíč API je heslo, kterému nekončí platnost a nikdo ho nesleduje. Chovejte se k němu podle toho.
Poskytněte mu pouze to, co potřebuje
Vytvořte klíč pro každou integraci zvlášť, a to pouze s oprávněními, která daná integrace využívá. Nasazovací skript nepotřebuje přístup k fakturaci a monitorovací nástroj nepotřebuje mazat weby. Když se něco pokazí, klíč s omezenými právy omezí i rozsah následků.
Nepouštějte ho do svého kódu
Nikdy neukládejte klíč do repozitáře – ať už veřejného, nebo soukromého. Repozitáře se forkovacími procesy větví, klonují, zálohují a neúmyslně sdílejí, přičemž skenery v nich klíče najdou během několika minut od nahrání. Použijte proměnnou prostředí nebo úložiště tajných údajů vašeho poskytovatele CI.
Raději klíč obměňte, než abyste se strachovali
Pokud byl klíč vložen do chatu, požadavku na podporu, snímku obrazovky nebo protokolu, vyměňte jej. Vytvořte nový klíč, převeďte integraci na něj a poté smažte ten starý – přesně v tomto pořadí, aby se mezitím nic nerozbilo. Trvá to minutu a pochybnosti zcela zmizí.
Sledujte jejich aktivitu
Každé volání provedené klíčem se zobrazuje v sekci Activity společně s názvem klíče. Pokud klíč, o kterém jste si mysleli, že je vyřazený, stále provádí volání, prozradí vám to užitečnou informaci.
Mazání
Smazání klíče se projeví okamžitě. Cokoli, co jej používá, začne dostávat 401, což je podstata věci.