Klient jej odesílá v definovaném umístění žádosti, běžně HTTP hlavičce. Podle návrhu může klíč působit jako sdílené tajné údaje, veřejný identifikátor, či obojí.
API klíče jsou běžně dlouho žijící a obvykle neidentifikují individuálního uživatele za žádostí. Bezpečný provoz vyžaduje vlastníka, definovaný účel, nejužší praktická oprávnění a prostředí, chráněné doručení a úložiště, monitorování použití, rotaci a rychlé zrušení. Klíče by neměly být vestavěny do veřejného klientského kódu ani umisťovány do URL, kde je logy a prostředníci mohou zaznamenat.
Klíčové body
Primární roleUmožnit API rozpoznat volajícího klienta, úloha, projekt či předplatné a aplikovat na něj politiku.
Autorizační hraniceVynucujte oprávnění u každého koncového zařízení; vlastnictví klíče by nemělo obcházet autorizaci na úrovni objektů či funkcí.
Provozní kontrolyVydávejte oddělené klíče na spotřebitele a prostředí, omezte, kde mohou být použity, monitorujte abnormální objem a udržujte testovaný proces výměny.
Důležité omezeníAPI klíč je často přehratelné bearer tajné údaje a při sdílení může poskytovat slabé připsání. Není automaticky autentizací uživatele, delegovanou autorizací, šifrováním ani důkazem, že žádost je legitimní.