Una chiave API è una password che non scade e che nessuno controlla. La tratti come tale.
Le conceda solo ciò di cui ha bisogno
Crei una chiave per ogni integrazione, con i soli permessi utilizzati da tale integrazione. Uno script di deployment non ha bisogno dell'accesso alla fatturazione, e uno strumento di monitoraggio non deve eliminare i siti. Quando qualcosa va storto, una chiave con privilegi limitati circoscrive l'entità del problema.
La tenga lontana dal Suo codice
Non esegua mai il commit di una chiave in un repository, né pubblico né privato. I repository vengono sottoposti a fork, clonati, salvati in backup e condivisi per errore, e gli scanner individuano le chiavi al loro interno a pochi minuti da un push. Utilizzi una variabile d'ambiente o il gestore di secret del Suo provider CI.
Ruoti anziché preoccuparsi
Se una chiave è stata incollata in una chat, in un ticket, in uno screenshot o in un registro, la sostituisca. Crei la nuova chiave, aggiorni l'integrazione e poi elimini quella vecchia: in quest'ordine, affinché non si verifichino interruzioni nel frattempo. Richiede un minuto e rimuove completamente ogni dubbio.
Controlli ciò che fanno
Ogni chiamata effettuata da una chiave compare in Activity, con il nome della chiave. Se una chiave che riteneva ritirata sta ancora effettuando chiamate, ciò Le segnala un'informazione utile da sapere.
Eliminazione
L'eliminazione di una chiave ha effetto immediato. Qualsiasi elemento che la utilizzi inizierà a ricevere 401, ed è esattamente questo lo scopo.