API Key (מפתח API) היא מחרוזת סודית שמזהה את מי שפונה לשירות דרך ה-API ומאשרת לו לפעול בשם החשבון. כל בקשה נושאת את המפתח, ומהמפתח השרת יודע של מי הבקשה, מה מותר לה ועל איזה חשבון לחייב אותה.
למה הוא שווה כמו סיסמה
מי שמחזיק במפתח יכול לעשות כל מה שהמפתח מתיר, בלי סיסמה ובלי אימות נוסף. במפתח של שירות SMS זה אומר לשלוח הודעות בשם העסק שלך ולהוציא את הקרדיטים שלו. מפתח שדלף הוא חשבון פתוח.
כללים לשמירה על המפתח
- שומרים אותו בצד השרת, במשתנה סביבה או בכספת סודות, ולא בקוד שעולה ל-Git.
- לא שמים אותו בקוד שרץ בדפדפן או באפליקציה בטלפון: שם כל אחד יכול לשלוף אותו.
- מפתח נפרד לכל מערכת, כשהשירות מאפשר, כדי שאפשר יהיה להחליף אחד בלי לעצור את כולן.
- חשד לדליפה? מחליפים מיד, ורק אחר כך בודקים מה קרה.
איך זה נראה ב-Sendy
ב-Sendy המפתח נקרא טוקן, ויוצרים אותו במסך מפתחים. יש טוקן אחד לכל סביבת עבודה, הוא מוצג פעם אחת בלבד, והחלפה שלו מבטלת את הקודם מיד, כך שכל אינטגרציה שמשתמשת בו צריכה לעבור לטוקן שהחליף אותו. רק הבעלים של סביבת העבודה יכול ליצור, להחליף או לבטל אותו. הטוקן עובר בכל בקשה בכותרת Authorization: Bearer.