APInøgler

APInøgler er hemmelige strenger som brukes for å autentisere forespørsler til en API. De utstedes av en API-leverandør til en utvikler eller en app, og knytter forespørslene til et spesifikt prosjekt, kunde eller tjeneste. En nøkkel fungerer som identifikator og gir tilgang innenfor definerte rammer.

Vanlig bruk innebærer at hver forespørsel inneholder nøkkelen, ofte i en HTTP-header som X-API-Key eller Authorization. Noen tjenester tillater også nøkkelen som en forespørselparameter. Det anbefales å sende nøkler i headeren i stedet for i URL-en for å redusere risiko for lekkasje i logger eller historikk.

Beskyttelse og styring: hold APInøkler hemmelige og trygt lagret (for eksempel i miljøvariabler eller hemmelighetshåndteringsverktøy). Ikke inkluder nøkler i klientkode for offentlige apper. Bruk egne nøkler for utvikling, testing og produksjon. Begrens nøkler med IP-restriksjoner, omfang (scopes) og kvoter, og rotér nøkler regelmessig ved lekkasje eller utløp. Fjern nøkler når de ikke lenger er nødvendige.

Livssyklus og administrasjon: leverandøren kan generere, deaktivere eller tilbakekalle APInøkler. God praksis inkluderer revisjon og sporing av nøkkelbruk, samt planlegging av nøkkeloppdateringer for minst mulig nedetid i applikasjonen.

Forskjellen mellom APInøkler og brukerbasert autentisering: API-nøkler identifiserer applikasjonen og gir tilgang basert på apptillatelse, uten nødvendigvis å representere en spesifikk bruker. For brukergodkjenning brukes ofte OAuth eller OpenID Connect, som gir brukerautorisasjon og mer granular tilgangskontroll.