Ключ API — это пароль, срок действия которого не истекает и за которым никто не следит. Относитесь к нему соответствующим образом.
Предоставляйте только необходимые разрешения
Создавайте отдельный ключ для каждой интеграции только с теми разрешениями, которые эта интеграция использует. Скрипту развертывания не нужен доступ к счетам, а инструменту мониторинга не требуется удалять сайты. В случае сбоя ключ с ограниченными правами локализует масштаб возникшей проблемы.
Не храните его в коде
Никогда не фиксируйте ключ в репозитории — как в публичном, так и в приватном. Репозитории форкают, клонируют, сохраняют в резервные копии и по ошибке открывают к ним доступ, а автоматические сканеры обнаруживают в них ключи в течение нескольких минут после отправки. Используйте переменную окружения или хранилище секретов вашего сервиса CI.
Меняйте ключи, а не беспокойтесь
Если ключ был отправлен в чат, тикет, попал на снимок экрана или в журнал событий, замените его. Создайте новый ключ, переключите интеграцию на него, а затем удалите старый — именно в таком порядке, чтобы в процессе ничего не перестало работать. Это займет минуту и полностью снимет вопрос.
Отслеживайте их действия
Каждый вызов, совершенный с помощью ключа, отображается в разделе «Активность» с указанием его имени. Если ключ, который считался отозванным, все еще совершает вызовы, на эту информацию стоит обратить внимание.
Удаление
Удаление ключа вступает в силу немедленно. Все, что его использует, начнет получать ошибку 401, в чем и заключается цель.