Kunci API adalah kata sandi yang tidak pernah kedaluwarsa dan tidak dipantau oleh siapa pun. Perlakukanlah sebagaimana mestinya.
Berikan hanya apa yang dibutuhkannya
Buat satu kunci per integrasi, hanya dengan izin yang digunakan integrasi tersebut. Skrip penerapan tidak memerlukan akses penagihan, dan alat pemantauan tidak perlu menghapus situs. Ketika terjadi masalah, kunci dengan cakupan terbatas akan membatasi dampak masalah tersebut.
Jauhkan dari kode Anda
Jangan pernah melakukan commit kunci ke repositori — baik publik maupun pribadi. Repositori dapat di-fork, di-clone, dicadangkan, dan dibagikan secara tidak sengaja, serta pemindai dapat menemukan kunci di dalamnya dalam hitungan menit setelah push. Gunakan variabel lingkungan atau penyimpan rahasia milik penyedia CI Anda.
Rotasi daripada khawatir
Jika kunci telah ditempelkan ke dalam obrolan, tiket, tangkapan layar, atau log, gantilah. Buat kunci baru, alihkan integrasi, lalu hapus kunci lama — dengan urutan tersebut, sehingga tidak ada yang terganggu di antaranya. Tindakan ini hanya memakan waktu satu menit dan menghilangkan kekhawatiran sepenuhnya.
Pantau apa yang dilakukannya
Setiap panggilan yang dilakukan oleh kunci akan muncul di Activity, lengkap dengan nama kunci tersebut. Jika kunci yang Anda kira sudah dinonaktifkan masih melakukan panggilan, itu memberi tahu Anda sesuatu yang penting untuk diketahui.
Menghapus
Penghapusan kunci akan langsung berlaku saat itu juga. Apa pun yang menggunakannya akan mulai menerima respons 401, dan memang itulah tujuannya.