מפתח API הוא סיסמה שאינה פגה ושאף אחד אינו משגיח עליה. התייחסו אליו בהתאם.
תנו לו רק את מה שהוא צריך
צרו מפתח עבור כל אינטגרציה, עם ההרשאות שבהן אותה אינטגרציה משתמשת בלבד. סקריפט פריסה אינו זקוק לגישה לחיוב, וכלי ניטור אינו צריך למחוק אתרים. כאשר משהו משתבש, מפתח מוגבל מצמצם את היקף התקלה.
שמרו אותו מחוץ לקוד שלכם
לעולם אל תבצעו commit של מפתח למאגר — ציבורי או פרטי. מאגרים עוברים תהליכי fork, שכפול, גיבוי ושיתוף שגוי, וסורקים מאתרים בהם מפתחות בתוך דקות מרגע ה-push. השתמשו במשתנה סביבה או במאגר הסודות של ספק ה-CI שלכם.
החליפו במקום לדאוג
אם מפתח הודבק בצ'אט, בפנייה, בצילום מסך או ביומן רישום, החליפו אותו. צרו את המפתח החדש, העבירו את האינטגרציה אליו, ולאחר מכן מחקו את הישן — בסדר הזה, כדי ששום דבר לא יישבר בדרך. זה לוקח דקה ומסיר את הספק לחלוטין.
עקבו אחר הפעולות שלהם
כל קריאה שמפתח מבצע מופיעה ב-Activity, לצד שם המפתח. אם מפתח שחשבתם שהוצא משימוש עדיין מבצע קריאות, זהו מידע שכדאי לכם לדעת.
מחיקה
מחיקת מפתח נכנסת לתוקף באופן מיידי. כל מה שמשתמש בו יתחיל לקבל 401, וזו בדיוק המטרה.