Всё, что стоит знать, и ничего лишнего.
Вращение без простоев
Сгенерируйте новый ключ на панели управления (ключи API → сгенерировать), пока текущий ключ еще активен. Разверните новый ключ в своих приложениях и убедитесь, что по нему проходит трафик, затем отзовите старый ключ. Поскольку оба ключа действительны в течение периода их совместного использования, перерыва в работе нет — это стандартный алгоритм ротации с нулевым временем простоя.
Отзыв ключа
Отзыв ключа на панели управления вступает в силу немедленно: любой запрос, содержащий отозванный ключ, отклоняется. Поскольку BroadNet никогда не регистрирует необработанные ключи, отозванный ключ не оставляет после себя ничего, что могло бы привести к утечке. Немедленно отзывайте ключ, если он мог быть добавлен в систему контроля версий, вставлен в заявку или иным образом раскрыт.
Относитесь к тестовым учётным данным как к секретам продакшна
Тестовые учётные данные работают с эндпоинтом продакшна, https://api.broadnet.me, поэтому защищайте их как любой секрет продакшна с первого дня: храните токен в переменных окружения или менеджере секретов, никогда не используйте в исходном коде, клиентской части или общих тестовых фикстурах, и проводите ротацию, если возник риск компрометации. См. /answers/what-is-sandbox-vs-production.
Когда поворачивать
Регулярно проводите ротацию ключей по установленному графику (обычно это ежеквартально), чтобы ни один ключ не оставался неопределенно долго, и немедленно меняйте ключи при любом подозрении на утечку или когда кто-то, имеющий доступ к ключу, покидает команду. Регулярная ротация ограничивает масштабы воздействия ключа, о взломе которого вы не знали.
Ключи можно аннулировать
Ключи API можно аннулировать в любое время, что делает регулярную ротацию безопасной и простой. Сочетайте ротацию с принципом наименьших привилегий, чтобы каждое приложение имело только те учётные данные, которые ему действительно необходимы. См. /developers/authentication.