Ασφαλής χρήση κλειδιών API

Ένα κλειδί API είναι ένας κωδικός πρόσβασης που δεν λήγει και τον οποίο κανείς δεν επιτηρεί. Αντιμετωπίστε το αναλόγως.

Δώστε του μόνο ό,τι χρειάζεται

Δημιουργήστε ένα κλειδί ανά ενσωμάτωση, με μόνο τα δικαιώματα που χρησιμοποιεί η συγκεκριμένη ενσωμάτωση. Ένα σενάριο ανάπτυξης (deployment script) δεν χρειάζεται πρόσβαση στην τιμολόγηση, και ένα εργαλείο παρακολούθησης δεν χρειάζεται να διαγράφει ιστότοπους. Όταν κάτι πάει στραβά, ένα κλειδί περιορισμένης εμβέλειας περιορίζει και το εύρος της ζημιάς.

Κρατήστε το έξω από τον κώδικά σας

Μην υποβάλλετε ποτέ ένα κλειδί σε ένα αποθετήριο — δημόσιο ή ιδιωτικό. Τα αποθετήρια διακλαδώνονται, κλωνοποιούνται, δημιουργούνται αντίγραφα ασφαλείας τους και κοινοποιούνται κατά λάθος, ενώ τα εργαλεία σάρωσης εντοπίζουν κλειδιά σε αυτά μέσα σε λίγα λεπτά από ένα push. Χρησιμοποιήστε μια μεταβλητή περιβάλλοντος ή τον χώρο αποθήκευσης μυστικών του παρόχου CI σας.

Αντικαταστήστε αντί να ανησυχείτε

Εάν ένα κλειδί έχει επικολληθεί σε συνομιλία, σε αίτημα υποστήριξης, σε στιγμιότυπο οθόνης ή σε αρχείο καταγραφής, αντικαταστήστε το. Δημιουργήστε το νέο κλειδί, μεταφέρετε την ενσωμάτωση και, στη συνέχεια, διαγράψτε το παλιό — με αυτήν τη σειρά, ώστε να μην διακοπεί τίποτα στο μεταξύ. Χρειάζεται ένα λεπτό και εξαλείφει πλήρως την αμφιβολία.

Παρακολουθήστε τι κάνουν

Κάθε κλήση που πραγματοποιεί ένα κλειδί εμφανίζεται στη Δραστηριότητα, μαζί με το όνομα του κλειδιού. Εάν ένα κλειδί που θεωρούσατε ότι είχε αποσυρθεί εξακολουθεί να πραγματοποιεί κλήσεις, αυτό σας αποκαλύπτει κάτι που αξίζει να γνωρίζετε.

Διαγραφή

Η διαγραφή ενός κλειδιού τίθεται σε ισχύ αμέσως. Οτιδήποτε το χρησιμοποιεί αρχίζει να λαμβάνει 401, το οποίο είναι και το ζητούμενο.