APIavaimet

APIavaimet ovat ohjelmalliseen käyttöön tarkoitettuja tunnisteita, joita API-palveluntarjoajat myöntävät sovelluksille tai palveluille. Niillä todentaminen ja käyttöoikeuksien hallinta suoritetaan ohjelmallisesti, ei käyttäjätodennuksen kautta. APIavaimet voivat olla yhden sovelluksen tai useiden sovellusten käyttöön erikseen myönnettyjä.

Hankinta ja käyttöönotto tapahtuvat yleensä kehittäjäportaalin kautta, jossa luodaan projekti tai sovellus ja generate-avaimet. Jokaiselle avaimelle voidaan määrittää käyttöoikeudet (scopes), käyttöalueet sekä ympäristöt, kuten kehitys tai tuotanto. Avain voi olla sidottu esimerkiksi rajoituksiin, kuten IP-osoitteisiin tai päivitetyn salaisuuden kierrätykseen.

Pyyntöihin APIavain lisätään tavallisesti otsikossa tai joskus kyselyparametrina. Yleisimmät muodot ovat Authorization-otsikko sekä X-API-Key -otsikko. On suositeltavaa välttää avaimen lähettämistä URL-osoitteessa, sillä se voi altistua lokitiedostoille ja välineille.

Tietoturva ja hallinta ovat keskeisiä: avaimet ovat salaisia tietoja ja niiden jakaminen julkisesti tulisi välttää. Säilytys tapahtuu turvallisesti palvelimen ympäristömuuttujina tai turvallisissa konfiguraatioissa. Käyttöönotossa tulisi minimoida oikeudet (principle of least privilege), seurata käyttöä, lokittaa pyynnöt ja kierrättää avaimia säännöllisesti sekä poistaa käytöstä menetetyt tai vanhentuneet avaimet. IP-suojaukset ja rate limiting voivat estää väärinkäyttöä.

Elinkaari: Avaimet voivat olla elinikäisiä tai ajastetusti kiertäviä. Käyttö kehittyneempiin valtuutuksiin, kuten OAuth 2.0 tai JWT-tunnuksiin, voi olla enemmän suositeltavaa tilanteissa, joissa on tarpeen hallita käyttäjävaltuuksia tarkemmin. APIavaimet ovat usein kevyempi ratkaisu palvelusovellusten väliseen kommunikointiin.