Oluşturmadan önce kapsamları tanımlayın
Bir anahtara yalnızca işinin gerektirdiği eylemleri ve kaynakları verin. Bir izleme entegrasyonu okuma erişimine ihtiyaç duyabilir; bir dağıtım aracı tanımlı bir yaşam döngüsü işlemleri kümesine ihtiyaç duyabilir. Faturalama yetkisini mümkün olduğunda ayrı tutun.
Dikkatlice açığa çıkarın ve özel olarak saklayın
Gerçek bir anahtar güvenli bir oluşturma akışıyla gösterilmeli, saklanırken korunmalı ve URL, tarayıcı paketleri ve kaynak kontrolünden hariç tutulmalıdır. Gizli bilginin kendisini açığa çıkarmadan sahibini, amacını ve oluşturma zamanını kaydedin.
İptali pratik hale getirin
Her entegrasyon için ayrı kimlik bilgileri verin; böylece her şeyi durdurmadan biri iptal edilebilir. Kasıtlı olarak döndürün ve eski anahtarın artık çalışmadığını doğrulayın. Beklenmeyen kullanımı sınırlı denetim kayıtlarıyla araştırın.
Sınırları test edin
Yararlı bir başlatma testi, izin verilen bir işlemi, yasak bir işlemi, süresi dolmuş veya iptal edilmiş bir anahtarı ve anahtarın kaynak sınırının dışında bir isteği içerir. Yalnızca kimlik doğrulama yetkilendirme değildir.
Aday anahtar politikası
API sözleşmesi, hesap başına adlandırılmış amaçlar, isteğe bağlı son kullanma tarihi ve kaynak adresi kısıtlamalarıyla en fazla on etkin anahtar tanımlar. Kapsamlar okuma, sunucu yönetimi, faturalandırma ve tam kontrolü ayırır. Bir oluşturma akışı sırrı bir kez göstermeli ve yalnızca uygun şekilde korunan bir doğrulama temsili tutmalıdır.
İsteği açığa çıkarmadan denetleyin
Yararlı bir denetim kaydı, parolaları veya tüm istek gövdelerini saklamadan anahtar tanımlayıcısı, yol, zaman ve sonucu içerebilir. Kayda erişim yine de koruma gerektirir. Hassas operasyonel geçmişi süresiz tutmak yerine saklama ve dışa aktarmayı tanımlayın.
Her otomasyona kendi kimlik bilgisini verin
Bir yedekleme denetleyicisi, dağıtım çalışanı ve faturalandırma entegrasyonu aynı tam erişim anahtarını paylaşmamalıdır. Bir anahtarı işine göre adlandırın, en küçük kapsamı verin ve sahibinin kim olduğunu kaydedin. Amaçlanan gruplar okuma, sunucular, faturalandırma ve tam'dır; bunların tam işlem eşlemesi API kullanılabilir olduğunda test edilmelidir.
Oluşturma, saklama ve rotasyon
Önerilen hesap modeli en fazla on etkin anahtara izin verir. Yeni bir sırrı bir kez gösterin, ardından yalnızca kimlik doğrulaması için gereken sunucu tarafı doğrulayıcıyı saklayın. İstemci kopyasını bir sır yöneticisinde veya korunan hizmet ortamında saklayın. Bir yedek ekleyerek, bağımlı çalışanı kontrol ederek ve ardından eski anahtarı iptal ederek rotasyon yapın; anahtarı asla herkese açık bir URL veya tarayıcı paketine koymayın.
Erişimi iptal edin, kanıtı değil
Bir anahtarın devre dışı bırakılması, geçmiş kullanımına dair sınırlı bir güvenlik kaydı korurken gelecekteki istekleri durdurmalıdır. Bir kimlik bilgisi sızmış olabilecekse derhal iptal edin, etkilenen kaynakları inceleyin ve ilgili tüm sırları değiştirin. Bir anahtar listesi, kurtarılabilir düz metin sırlar yerine güvenli bir tanımlayıcı ve son kullanım üst verilerini göstermelidir.
Biraz daha netlik.
Bu sayfa çalışan bir API anahtarı oluşturabilir mi?
Hayır. Anahtar oluşturma, kimliği doğrulanmış bir hesap arka ucu gerektirir; bu bilgi sayfası kimlik bilgisi vermez.