Clientul o trimite într-o locație de cerere definită, în mod obișnuit un antet HTTP. În funcție de design, cheia poate acționa ca secret partajat, identificator public sau ambele.
Cheile API sunt în mod obișnuit de durată lungă și nu identifică de obicei utilizatorul individual din spatele unei cereri. Operarea securizată necesită un proprietar, un scop definit, permisiunile și mediul cel mai îngust practic, livrare și stocare protejate, monitorizarea utilizării, rotire și revocare promptă. Cheile nu ar trebui încorporate în cod client public sau plasate în URL-uri unde jurnalele și intermediarii le pot înregistra.
Puncte esențiale
Rol principalPermite unui API să recunoască și să aplice politici unui client, sarcină de lucru, proiect sau abonament apelant.
Granița de autorizareAplicați permisiunile la fiecare endpoint; deținerea unei chei nu ar trebui să ocolească autorizarea la nivel de obiect sau funcție.
Controale operaționaleEmiteți chei separate per consumator și mediu, restricționați unde pot fi folosite, monitorizați volumul anormal și mențineți un proces de înlocuire testat.
Limitare importantăO cheie API este adesea un secret bearer rejucabil și poate oferi atribuire slabă când este partajată. Nu este automat autentificare de utilizator, autorizare delegată, criptare sau dovadă că o cerere este legitimă.