API kľúč

Čo to znamená

API kľúč je reťazec, ktorým sa jedna aplikácia predstaví druhej pri volaní API. Nahrádza prihlásenie človeka, a preto si zaslúži rovnakú ochranu ako heslo do banky.

Kľúč hovorí, kto volá, nie čo smie. Rozsah práv sa nastavuje osobitne: kľúč na čítanie kurzov je nezaujímavý, kľúč do fakturácie s právom zápisu je prístup k celej databáze odberateľov.

API kľúč sa líši od hesla aj od tokenu s obmedzenou platnosťou. Heslo patrí človeku a býva chránené dvojfaktorovou autentifikáciou, kľúč sa predkladá sám a často platí neobmedzene, kým ho niekto nezruší. Modernejšie integrácie preto používajú krátkodobé tokeny, ktoré sa obnovujú automaticky a ukradnuté po čase prestanú fungovať.

Ako to funguje v praxi

V účtovnej firme kľúče spájajú softvér s bankou, e-shopom, fakturáciou alebo webhookmi dopravcu. Patria do správcu hesiel či premenných prostredia, nie do e-mailu ani do repozitára.

Minimum je samostatný kľúč na každú integráciu, len nevyhnutné práva a zneplatnenie pri odchode dodávateľa; je to súčasť riadenia prístupov. Únik kľúča k osobným údajom sa musí posúdiť ako porušenie ochrany osobných údajov.

Pri napojení účtovného softvéru na banku cez PSD2 nejde o kľúč, ktorý si vygenerujete sami, ale o súhlas, ktorý klient udeľuje priamo v banke a ktorý treba po čase obnoviť. Zapisujeme si, kedy súhlas vyprší, a klienta upozorníme vopred, aby sa import výpisov nezastavil uprostred mesačnej uzávierky.

Na čo si dať pozor

Jeden spoločný kľúč pre všetky integrácie sa raz dostane do verejného repozitára. Automaty ho nájdu v priebehu minút, stiahnutá databáza odberateľov je oznamovaný incident a prenastaviť treba naraz všetky napojenia.

Druhý problém je kľúč, o ktorom nikto nevie. Keď integráciu nastavil bývalý dodávateľ alebo zamestnanec, firma netuší, kde kľúč beží a čo sa zastaví po jeho zrušení, a nechá ho teda platiť ďalej. Prehľad kľúčov s majiteľom, účelom a dátumom vzniku je jediný spôsob, ako pri offboardingu nenechať otvorené dvere.