API キーを安全に使用する

APIキーは有効期限がなく、誰も監視していないパスワードです。パスワードと同様に慎重に扱ってください。

必要最小限の権限のみを付与する

統合ごとにキーを作成し、その統合で使用する権限のみを付与します。デプロイメントスクリプトに請求情報へのアクセス権は必要ありませんし、監視ツールにサイトを削除する権限も必要ありません。問題が発生した際、スコープが制限されたキーであれば、被害を最小限に抑えられます。

コードに含めない

パブリックかプライベートかを問わず、キーをリポジトリにコミットしないでください。リポジトリはフォーク、クローン、バックアップ、誤った共有がされる可能性があり、スキャナーはプッシュ後わずか数分でキーを発見します。環境変数やCIプロバイダーのシークレットストアを使用してください。

心配するよりローテーションする

チャット、チケット、スクリーンショット、ログなどにキーが貼り付けられた場合は、置き換えてください。新しいキーを作成し、統合を切り替えてから、古いキーを削除します。この順序で行うことで、途中で処理が中断されることはありません。わずか1分で作業が完了し、懸念事項を完全に解消できます。

使用状況を監視する

キーが行うすべてのリクエストは、キーの名前とともに「アクティビティ」に記録されます。使われなくなったはずのキーが依然としてリクエストを送信している場合、それは知っておくべき重要な手がかりとなります。

削除

キーの削除は即座に反映されます。そのキーを使用しているすべての処理が 401 エラーを受け取るようになりますが、それこそがまさに意図した動作です。