Une clé d’API est un mot de passe qui n’expire pas et que personne ne surveille. Traitez-la comme tel.
Ne lui donnez que ce dont elle a besoin
Créez une clé par intégration, avec uniquement les autorisations utilisées par cette dernière. Un script de déploiement n’a pas besoin d’accéder à la facturation, et un outil de surveillance n’a pas besoin de supprimer des sites. Lorsque quelque chose tourne mal, une clé aux accès restreints limite l’ampleur du problème.
Gardez-la en dehors de votre code
Ne committez jamais une clé dans un dépôt, qu’il soit public ou privé. Les dépôts font l’objet de forks, de clones, de sauvegardes et de partages accidentels, et des scanners y découvrent des clés quelques minutes seulement après un push. Utilisez une variable d’environnement ou le gestionnaire de secrets de votre fournisseur de CI.
Effectuez une rotation plutôt que de vous inquiéter
Si une clé a été collée dans un chat, un ticket, une capture d’écran ou un journal, remplacez-la. Créez la nouvelle clé, basculez l’intégration, puis supprimez l’ancienne — dans cet ordre, afin d’éviter toute interruption de service. Cela prend une minute et élimine complètement le problème.
Surveillez ce qu’elles font
Chaque appel effectué par une clé apparaît dans Activité, avec le nom de la clé. Si une clé que vous pensiez retirée effectue toujours des appels, cela vous indique une information utile à savoir.
Suppression
La suppression d’une clé prend effet immédiatement. Tout élément qui l’utilise commence à recevoir un code 401, ce qui est précisément le but.