Klient wysyła go w zdefiniowanym miejscu żądania, zwykle w nagłówku HTTP. Zależnie od projektu klucz może działać jako współdzielony sekret, publiczny identyfikator lub jedno i drugie.
Klucze API są powszechnie długowieczne i zwykle nie identyfikują indywidualnego użytkownika stojącego za żądaniem. Bezpieczna eksploatacja wymaga właściciela, zdefiniowanego celu, najwęższych praktycznych uprawnień i środowiska, chronionego dostarczania i przechowywania, monitorowania użycia, rotacji i szybkiego unieważniania. Kluczy nie należy osadzać w publicznym kodzie klienta ani umieszczać w URL-ach, gdzie logi i pośrednicy mogą je rejestrować.
Najważniejsze punkty
Główna rolaPozwala API rozpoznawać wywołującego klienta, obciążenie, projekt lub subskrypcję i stosować do niego politykę.
Granica autoryzacjiEgzekwuj uprawnienia na każdym punkcie końcowym; posiadanie klucza nie powinno omijać autoryzacji na poziomie obiektu lub funkcji.
Kontrole operacyjneWydawaj osobne klucze na konsumenta i środowisko, ograniczaj, gdzie mogą być używane, monitoruj nietypowy wolumen i utrzymuj przetestowany proces wymiany.
Istotne ograniczenieKlucz API jest często odtwarzalnym sekretem bearer i przy współdzieleniu może zapewniać słabą atrybucję. Nie jest automatycznie uwierzytelnianiem użytkownika, delegowaną autoryzacją, szyfrowaniem ani dowodem, że żądanie jest uzasadnione.