Sử dụng khóa API an toàn

Một khóa API là một mật khẩu không bao giờ hết hạn và không ai giám sát. Hãy đối xử với nó như vậy.

Chỉ cấp những gì nó cần

Tạo một khóa cho mỗi tích hợp, chỉ với các quyền mà tích hợp đó sử dụng. Một tập lệnh triển khai không cần quyền truy cập thanh toán và một công cụ giám sát không cần xóa các trang web. Khi có sự cố xảy ra, một khóa có phạm vi hạn hẹp sẽ giới hạn mức độ thiệt hại đi kèm.

Giữ khóa khỏi mã nguồn của bạn

Không bao giờ commit khóa vào kho lưu trữ — dù là công khai hay riêng tư. Các kho lưu trữ có thể bị fork, clone, sao lưu và chia sẻ nhầm, và các trình quét có thể tìm thấy khóa trong đó chỉ trong vòng vài phút sau khi push. Hãy sử dụng biến môi trường hoặc kho lưu trữ bí mật của nhà cung cấp CI của bạn.

Thay đổi thay vì lo lắng

Nếu một khóa đã bị dán vào khung chat, phiếu hỗ trợ, ảnh chụp màn hình hoặc nhật ký, hãy thay thế nó. Tạo khóa mới, chuyển tích hợp sang khóa mới, sau đó xóa khóa cũ — theo đúng thứ tự đó, để không có gì bị gián đoạn ở giữa. Việc này chỉ mất một phút và loại bỏ hoàn toàn mối lo ngại.

Theo dõi hoạt động của chúng

Mọi lệnh gọi do khóa thực hiện đều xuất hiện trong phần Hoạt động, kèm theo tên của khóa. Nếu một khóa mà bạn nghĩ đã ngừng hoạt động vẫn đang thực hiện các lệnh gọi, điều đó cho bạn biết một thông tin đáng chú ý.

Xóa

Việc xóa một khóa có hiệu lực ngay lập tức. Bất kỳ thứ gì sử dụng khóa đó sẽ bắt đầu nhận được 401, đó chính là mục đích.