Tutto ciò che vale la pena sapere, niente di superfluo.
Rotazione senza tempi di inattività
Genera una nuova chiave nella dashboard (Chiavi API → Genera) mentre la chiave corrente è ancora attiva. Distribuisci la nuova chiave alle tue applicazioni e verifica che il traffico la utilizzi, quindi revoca la vecchia chiave. Poiché entrambe le chiavi sono valide durante il periodo di sovrapposizione, non si verifica alcuna interruzione del servizio: questo è il modello di rotazione standard senza tempi di inattività.
Revoca di una chiave
La revoca di una chiave nella dashboard ha effetto immediato: qualsiasi richiesta che presenti la chiave revocata viene rifiutata. Poiché BroadNet non registra mai le chiavi non elaborate, una chiave revocata non lascia alcuna traccia che possa essere divulgata. Revocare immediatamente una chiave se potrebbe essere stata inserita in un sistema di controllo versione, incollata in un ticket o altrimenti esposta.
Tratta le credenziali di test come segreti di produzione
Le credenziali di test operano sull'endpoint di produzione, https://api.broadnet.me, quindi proteggile come qualsiasi segreto di produzione fin dal primo giorno: conserva il token in una variabile d'ambiente o in un secrets manager, mai nel controllo versione, nel codice client-side o in fixture di test condivise, e ruotalo se potrebbe essere stato esposto. Consulta /answers/what-is-sandbox-vs-production.
Quando ruotare
Effettuate una rotazione periodica (trimestrale è una prassi comune) in modo che nessuna chiave rimanga inutilizzata indefinitamente, e ruotatela immediatamente in caso di sospetta compromissione o quando qualcuno con accesso a una chiave lascia il team. La rotazione programmata limita le conseguenze di una chiave compromessa di cui non si conosceva l'esistenza.
Le chiavi sono revocabili
Le chiavi API sono revocabili in qualsiasi momento, il che rende la rotazione di routine sicura ed economica. Combina la rotazione con l'utilizzo delle chiavi secondo il principio del privilegio minimo, in modo che ogni applicazione possieda solo le credenziali di cui ha effettivamente bisogno. Consulta /developers/authentication.