Ключ API

Що це означає

Ключ API - рядок, яким один застосунок представляється іншому при виклику API. Він замінює вхід людини й тому заслуговує на такий самий захист, як пароль до банку.

Ключ каже, хто викликає, а не що йому дозволено. Права налаштовуються окремо: ключ на читання курсів нікому не потрібен, ключ до виставлення рахунків із правом запису - це вся база покупців.

Ключ API відрізняється і від пароля, і від токена з обмеженим строком. Пароль належить людині й зазвичай захищений двофакторною автентифікацією, ключ пред’являється сам по собі й часто діє безстроково, доки його не відкличуть. Тому сучасні інтеграції використовують короткострокові токени, які оновлюються автоматично, а викрадені з часом перестають працювати.

Як це працює на практиці

У бухгалтерській фірмі ключі зв’язують софт із банком, магазином, сервісом рахунків або вебхуками перевізника. Їхнє місце в менеджері паролів чи змінних середовища, а не в пошті й не в репозиторії.

Мінімум - окремий ключ на кожну інтеграцію, лише потрібні права та відкликання при відході підрядника; це частина управління доступом. Витік ключа до персональних даних доводиться оцінювати як порушення захисту персональних даних.

При підключенні облікової програми до банку через PSD2 ідеться не про ключ, який ви створюєте самі, а про згоду, яку клієнт дає безпосередньо в банку і яку з часом треба поновлювати. Ми записуємо, коли згода спливає, і заздалегідь попереджаємо клієнта, щоб завантаження виписок не зупинилося посеред місячного закриття.

На що звернути увагу

Один спільний ключ на всі інтеграції одного разу потрапляє в публічний репозиторій. Боти знаходять його за хвилини, вивантажена база покупців - це інцидент з обов’язком повідомити, а переналаштовувати доведеться всі підключення.

Друга проблема - ключ, про який ніхто не знає. Якщо інтеграцію налаштовував колишній підрядник чи працівник, компанія не уявляє, де ключ працює і що зупиниться після відкликання, і залишає його діяти. Перелік ключів із власником, призначенням і датою створення - єдиний спосіб під час офбордингу не залишити відчинені двері.