为每个集成分配独立密钥。

创建前先定义范围

只授予密钥其任务所需的操作和资源。监控集成可能需要读取权限；部署工具可能需要一组定义的生命周期操作。尽可能将计费权限分开。

谨慎披露并私下存储

真实密钥应通过安全的创建流程展示，在静态存储时受到保护，并排除在 URL、浏览器打包文件和源代码管理之外。请记录所有者、用途和创建时间，但不要暴露密钥本身。

让吊销切实可行

为每个集成签发单独的凭据，以便在不中断所有服务的情况下撤销其中一个。有意轮换并验证旧密钥不再有效。使用有界审计记录调查异常使用情况。

测试限制

有用的启动测试包括允许的操作、禁止的操作、过期或撤销的密钥以及超出密钥资源边界的请求。仅身份验证并不等于授权。

候选密钥策略

API 合同规定每个账户最多十个活动密钥，并带有命名用途、可选到期时间和源地址限制。作用域将读取、服务器管理、计费和完全控制分开。创建流程应仅显示一次密钥，并仅保留适当保护的验证表示。

审计而不暴露请求

有用的审计记录可包含密钥标识符、路由、时间和结果，而不保留密码或完整请求体。对记录的访问仍需保护。定义保留和导出策略，而不是无限期保留敏感操作历史。

为每个自动化分配独立凭据

备份检查器、部署工作进程和账单集成不应共享同一个全访问密钥。为密钥按其用途命名，授予最小范围，并记录其所有者。预期的分组为读取、服务器、账单和完全；当 API 可用时，必须测试其确切的操作映射。

创建、存储和轮换

拟议的账户模型允许最多十个活动密钥。仅显示一次新密钥，然后仅保留用于验证它的服务器端验证器。将客户端副本存储在密钥管理器或受保护的服务环境中。通过引入替代密钥、检查依赖的工作进程，然后撤销旧密钥来进行轮换；切勿将密钥放入公共 URL 或浏览器捆绑包中。

撤销访问权限，而非证据

禁用密钥应阻止未来请求，同时保留其过去使用的有限安全记录。如果凭证可能已泄露，请及时撤销、检查受影响的资源并替换任何相关密钥。密钥列表应显示安全标识符和最后使用元数据，而非可恢复的明文密钥。

多一点清晰。