APItunnuksia

APItunnuksia ovat ohjelmistojen ja palveluiden tarjoamien sovellusliittymien (API) käyttöä automatisoidusti mahdollistavat tunnistetiedot. Tunnusten avulla sovellukset voivat todentaa itsensä ja määritellä, mitä resursseja tai toimintoja ne saavat käyttää.

APItunnukset voivat olla erisuuruisia merkkijonoja, joita lähetetään esimerkiksi HTTP-pyynnön Authorization-otsikossa muodossa Bearer <tunnus> tai joissain tapauksissa kyselyparametreissä. Joillakin palveluntarjoajilla on erotteluna API-avaimia (API keys) ja JWT-pohjaisia tokeneita; käytännöt riippuvat järjestelmästä.

Jokaisella tunnuksella on käyttöoikeudet eli oikeudet ("scopes"), sekä mahdollisesti voimassaoloaika, IP-rajoitukset ja kutsujen määrää koskevat rajoitukset. Tunnus voidaan liittää tarkoitukseensa sovellukseen tai käyttäjään, ja sen hallintaa suositellaan suunnittelemaan niin, että pääsy on mahdollisimman rajoitettua ja hallittua.

Turvallisuus: tunnuksia ei tulisi säilyttää koodissa tai julkisissa varastopaikoissa. Niiden hallinnoinnissa käytetään salaisuuksien hallintajärjestelmiä ja ympäristömuuttujia. Käytä HTTPS-yhteyttä, seuraa käytön auditointia, rajoita pääsyä (least privilege) sekä seuraa ja ilmoita epäilyttävästä käytöksestä. Jos tunnus varastetaan tai sitä epäillään vuotaneen, se on mitätöitävä ja uudelleen luotava.

APItunnukset eroavat usein monimutkaisemmin hallittavista OAuth 2.0 -käyttöoikeustokenista, jossa on mahdollisuus uusimiseen ja useampia lisäominaisuuksia. Käytännössä kehittäjät valitsevat sopivan mekanismin palvelun vaatimusten mukaan.

Yhteenveto: APItunnukset ovat keskeinen keino automatisoidun pääsyn hallintaan ohjelmallisesti, ja niiden asianmukainen hallinta on oleellinen osa ohjelmistojen turvallisuutta ja luotettavuutta.