Az API-kulcs egy olyan jelszó, amely soha nem jár le, és amelyet senki sem felügyel. Kezelje ennek megfelelően.
Csak a szükséges jogosultságokat adja meg neki
Hozzon létre integrációnként egy-egy kulcsot, kizárólag azokkal a jogosultságokkal, amelyeket az adott integráció ténylegesen használ. Egy telepítőszkriptnek nincs szüksége számlázási hozzáférésre, egy monitorozó eszköznek pedig nem kell webhelyeket törölnie. Ha valami hiba történik, a szűk körű jogosultságokkal rendelkező kulcs korlátozza a probléma mértékét.
Tartsa távol a forráskódtól
Soha ne töltsön fel (commit) kulcsot egy tárolóba (repository) — sem nyilvánosba, sem privátba. A tárolókat elágaztatják, klónozzák, biztonsági másolatot készítenek róluk, és véletlenül megosztják őket, a szkennerek pedig a pusholást követő perceken belül megtalálják bennük a kulcsokat. Használjon környezeti változót vagy a CI-szolgáltatója titkos kulcstárát (secret store).
Aggódás helyett cserélje le (rotálja)
Ha egy kulcsot beillesztettek egy csevegésbe, hibajegybe, képernyőképbe vagy naplófájlba, cserélje le. Hozza létre az új kulcsot, állítsa át az integrációt, majd törölje a régit — ebben a sorrendben, hogy időközben semmi se akadjon el. Ez mindössze egy percet vesz igénybe, és teljesen eloszlatja a kétségeket.
Kövesse nyomon a tevékenységüket
A kulcs által kezdeményezett minden hívás megjelenik az Activity menüpontban, a kulcs nevével együtt. Ha egy olyan kulcs, amelyről azt hitte, hogy már visszavonta, továbbra is hívásokat indít, az olyan információ, amelyet érdemes tudnia.
Törlés
A kulcs törlése azonnal érvénybe lép. Minden olyan folyamat, amely használja, elkezd 401-es hibát kapni — és pontosan ez a cél.