Uso seguro de claves de API

Una clave de API es una contraseña que no caduca y que nadie vigila. Trátela como tal.

Otórguele únicamente lo que necesita

Cree una clave por integración, con solo los permisos que dicha integración utilice. Un script de despliegue no necesita acceso a la facturación, y una herramienta de monitorización no necesita eliminar sitios. Cuando algo sale mal, una clave limitada restringe el alcance del problema.

Manténgala fuera de su código

Nunca suba una clave a un repositorio, ya sea público o privado. Los repositorios se bifurcan, se clonan, se respaldan y se comparten por error, y los escáneres encuentran claves en ellos a los pocos minutos de un push. Utilice una variable de entorno o el almacén de secretos de su proveedor de CI.

Rótela en lugar de preocuparse

Si una clave se ha pegado en un chat, una solicitud de asistencia, una captura de pantalla o un registro, reemplácela. Cree la nueva clave, cambie la integración a ella y luego elimine la antigua, en ese orden, para que nada se interrumpa en el proceso. Solo toma un minuto y disipa la duda por completo.

Supervise lo que hacen

Cada llamada que realiza una clave aparece en Actividad, junto con el nombre de la clave. Si una clave que creía retirada sigue realizando llamadas, eso le indica algo que vale la pena saber.

Eliminación

Eliminar una clave surte efecto de inmediato. Cualquier elemento que la utilice comenzará a recibir un 401, que es precisamente el objetivo.