En API-nøgle, der må alt, er en nøgle, man ikke kan give fra sig

I vælger rettighederne ved oprettelsen, fra samme katalog som rollerne. En nøgle, der skal sende kontakter fra jeres hjemmeside, kan ikke læse jeres fakturaer, og afvisningen kommer fra gatewayen, ikke fra en aftale i koden. Det er modellen bag Stripes begrænsede nøgler og GitHubs finkornede tokens.

• Rettigheder valgt fra RBAC-kataloget
• Kontrol ved hvert kald, i gatewayen
• Hemmelig eller offentlig nøgle, efter brug
• Etiket og note, så man ved, hvad den bruges til

En nøgle kan bære en slutdato. Og selv uden dato gælder et inaktivitetsvindue på halvfems dage: en nøgle, ingen længere bruger, holder op med at virke af sig selv. Det er den mest hverdagsagtige lækage — en nøgle, der havnede i et script en tirsdag og blev glemt i tre år.

• Udtrykkelig udløbsdato, hvis I vil
• Dertil et inaktivitetsvindue på 90 dage
• Dato for seneste brug vises
• Øjeblikkelig tilbagekaldelse, med hvem der gjorde det

Nøglen i klartekst findes kun i det øjeblik, I opretter den: derefter gemmes kun dens aftryk, og intet kan læse den tilbage — hverken grænsefladen, supporten eller revisionsloggen, som registrerer hændelsen uden nogensinde at bære værdien. Går den tabt, opretter man en ny og tilbagekalder den gamle.

• Værdien vises én gang, gemmes aldrig i klartekst
• Revisionslog uden hemmelighed og uden aftryk
• E-mailadvarsel ved en IP-adresse, der aldrig er set
• Oprettelse og tilbagekaldelse knyttet til ophavsmanden