Ключ API

Что это значит

Ключ API - строка, которой одно приложение представляется другому при вызове API. Он заменяет вход человека и потому заслуживает той же защиты, что и пароль от банка.

Ключ говорит, кто вызывает, а не что ему позволено. Права настраиваются отдельно: ключ на чтение курсов никому не нужен, ключ к выставлению счетов с правом записи - это вся база покупателей.

Ключ API отличается и от пароля, и от токена с ограниченным сроком. Пароль принадлежит человеку и обычно защищён двухфакторной аутентификацией, ключ предъявляется сам по себе и часто действует бессрочно, пока его не отзовут. Поэтому современные интеграции используют краткосрочные токены, которые обновляются автоматически, а украденные через время перестают работать.

Как это работает на практике

В бухгалтерской фирме ключи связывают софт с банком, магазином, сервисом счетов или вебхуками перевозчика. Их место в менеджере паролей или переменных окружения, а не в почте и не в репозитории.

Минимум - отдельный ключ на каждую интеграцию, только нужные права и отзыв при уходе подрядчика; это часть управления доступом. Утечку ключа к персональным данным приходится оценивать как нарушение защиты персональных данных.

При подключении учётной программы к банку через PSD2 речь идёт не о ключе, который вы создаёте сами, а о согласии, которое клиент даёт прямо в банке и которое со временем нужно продлевать. Мы записываем, когда согласие истекает, и заранее предупреждаем клиента, чтобы загрузка выписок не остановилась посреди месячного закрытия.

На что обратить внимание

Один общий ключ на все интеграции однажды попадает в публичный репозиторий. Боты находят его за минуты, выгруженная база покупателей - это инцидент с обязанностью уведомить, а перенастраивать придётся сразу все подключения.

Вторая проблема - ключ, о котором никто не знает. Если интеграцию настраивал бывший подрядчик или сотрудник, компания не представляет, где ключ работает и что остановится после отзыва, и оставляет его действовать. Перечень ключей с владельцем, назначением и датой создания - единственный способ при оффбординге не оставить открытую дверь.