استفاده ایمن از کلیدهای API

یک کلید API رمز عبوری است که منقضی نمی‌شود و کسی آن را زیر نظر ندارد. با آن مانند یک رمز عبور رفتار کنید.

فقط دسترسی‌های مورد نیاز را به آن بدهید

برای هر یکپارچه‌سازی، یک کلید مجزا ایجاد کنید که فقط دارای مجوزهای مورد استفاده‌ی همان یکپارچه‌سازی باشد. یک اسکریپت استقرار نیازی به دسترسی به بخش صورت‌حساب ندارد و یک ابزار پایش نیازی به حذف وب‌سایت‌ها ندارد. وقتی مشکلی پیش می‌آید، یک کلید محدود، گستره‌ی آسیب را کاهش می‌دهد.

آن را از کد خود دور نگه دارید

هرگز یک کلید را در مخزن کد — چه عمومی و چه خصوصی — کامیت نکنید. مخزن‌ها فورک، کلون، پشتیبان‌گیری و به‌طور اشتباه به اشتراک گذاشته می‌شوند و اسکنرها ظرف چند دقیقه پس از یک پوش، کلیدها را در آن‌ها پیدا می‌کنند. از یک متغیر محیطی یا انبار اسرع ارائه‌دهنده‌ی CI خود استفاده کنید.

به جای نگرانی، کلید را چرخش دهید

اگر کلیدی در یک چت، تیکت، اسکرین‌شات یا لاگ قرار گرفته است، آن را جایگزین کنید. کلید جدید را ایجاد کنید، یکپارچه‌سازی را به آن منتقل کنید، و سپس کلید قدیمی را حذف کنید — دقیقاً به همین ترتیب، تا در این بین چیزی مختل نشود. این کار یک دقیقه طول می‌کشد و نگرانی را به‌طور کامل از بین می‌برد.

فعالیت‌های آن‌ها را زیر نظر داشته باشید

هر درخواستی که یک کلید ارسال می‌کند، به همراه نام آن کلید در بخش فعالیت‌ها ظاهر می‌شود. اگر کلیدی که فکر می‌کردید منسوخ شده است همچنان در حال ارسال درخواست است، این موضوع نکته‌ای ارزشمند را به شما نشان می‌دهد.

حذف کردن

حذف یک کلید بلافاصله اعمال می‌شود. هر ابزاری که از آن استفاده کند خطای 401 دریافت می‌کند، که دقیقاً هدف همین است.