Menggunakan kekunci API dengan selamat

Kunci API ialah kata laluan yang tidak luput tempoh dan tiada sesiapa yang memantaunya. Anggaplah ia seperti satu kata laluan.

Berikan hanya apa yang ia perlukan

Cipta satu kunci bagi setiap integrasi, dengan kebenaran yang digunakan oleh integrasi itu sahaja. Skrip pengecoran tidak memerlukan akses pengebilan, dan alat pemantauan tidak memerlukan kebenaran untuk memadamkan tapak. Apabila berlaku masalah, kunci yang terhad mengehadkan skop kerosakan yang boleh berlaku.

Jauhkan ia daripada kod anda

Jangan sekali-kali komit kunci ke dalam repositori — awam atau peribadi. Repositori boleh difork, diklon, disandarkan dan dikongsi secara tidak sengaja, dan pengimbas mencari kunci di dalamnya dalam masa beberapa minit selepas dorongan (push). Gunakan pembolehubah persekitaran atau stor rahsia pembekal CI anda.

Buat penggiliran daripada merisaukan diri

Jika kunci telah dilit tampal ke dalam sembang, tiket, tangkapan skrin atau log, gantikannya. Cipta kunci baharu, tukar integrasi tersebut, kemudian padamkan kunci lama — mengikut urutan tersebut, supaya tiada apa yang tergendala di celah-celahnya. Ia hanya mengambil masa seminit dan menghilangkan tanda tanya sepenuhnya.

Pantau apa yang dilakukannya

Setiap panggilan yang dibuat oleh kunci akan muncul dalam Aktiviti, berserta nama kunci tersebut. Jika kunci yang anda sangkakan telah dihentikan masih membuat panggilan, itu memberitahu anda sesuatu yang penting untuk diketahui.

Memadamkan

Pemadaman kunci berkuat kuasa serta-merta. Apa sahaja yang menggunakannya akan mula mendapat 401, iaitu tujuannya.