Menggunakan kunci API dengan selamat

Kunci API ialah kata laluan yang tidak luput dan tidak diawasi oleh sesiapa. Layan ia sebagaimana sewajarnya.

Berikan ia hanya apa yang diperlukannya

Cipta kunci bagi setiap integrasi, dengan hanya kebenaran yang digunakan oleh integrasi tersebut. Skrip pelaksanaan tidak memerlukan akses pengebilan, dan alat pemantauan tidak perlu memadamkan laman. Apabila sesuatu masalah berlaku, kunci yang terhad mengehadkan impak masalah tersebut.

Jauhkannya daripada kod anda

Jangan sekali-kali menyerahkan (commit) kunci ke dalam repositori — awam atau peribadi. Repositori boleh dicabang (forked), diklon, disandarkan dan tersilap kongsi, dan pengimbas menemui kunci di dalamnya dalam masa beberapa minit selepas penolakan (push). Gunakan pemboleh ubah persekitaran atau stor rahsia penyedia CI anda.

Putar ganti daripada bimbang

Jika kunci telah ditampal ke dalam sembang, tiket, tangkapan skrin atau log, gantikannya. Cipta kunci baharu, tukar integrasi tersebut, kemudian padamkan kunci lama — mengikut urutan tersebut, supaya tiada apa-apa yang terputus di antaranya. Ia mengambil masa seminit dan menghapuskan persoalan tersebut sepenuhnya.

Perhatikan apa yang dilakukannya

Setiap panggilan yang dibuat oleh kunci dipaparkan dalam Activity, bersama nama kunci tersebut. Jika kunci yang anda sangka telah ditamatkan masih membuat panggilan, ini memberitahu anda sesuatu yang wajar diketahui.

Memadam

Memadamkan kunci berkuat kuasa serta-merta. Sebarang perkara yang menggunakannya akan mula menerima 401, dan itulah tujuannya.