APIvõtmed

APIvõti (API key) on autentimise ja autoriseerimise vahend, mida kasutatakse kliendi identifitseerimiseks API‑le ning ligipääsu kontrollimiseks. See on tavaliselt juhuslikult genereeritud pikk string, mis on seotud konto, projekti või rakendusega. API võtmete kaudu teenus saab otsustada, milliste ressursside ja toimingute jaoks kliendil on õigus.

Kasutusviisid: võtmed genereeritakse teenusepakkuja haldusliidesest ning kliendid lisavad võtme HTTP päringusse. See võib ilmuda päises kui X-Api-Key või Authorization: Bearer <võti>, või mõnikord päringul või URLi sees, sõltuvalt teenusest. Mõnel korral kasutatakse ka vormi JSON Web Token (JWT) või HMAC‑võtmeid.

Turvalisus ja haldus: API võtmed tuleb hoida salajasena ning mitte jagada avalikus koodivaras. Soovitav on kasutada keskkonnamuutujaid või saladusehoiustust ning vältida võtmete kõigi rakenduste jagamist. Rakenda piiranguid (ligipääs vaid teatud lõpp-punktidele), IP‑piiranguid, kvota ja kasutusmõõtmist. Võtmed tuleks perioodiliselt rotatsiooni käigus vahetada ja vajadusel tühistada (revocation).

Piirangud ja alternatiivid: API võtmed identifitseerivad ainult selle kliendi, mitte üksikkasutajat, ning neid tuleks kasutada koos autentimis- ja autoriseerimismehhanismidega. Teenustes, kus on vaja kasutajapõhist autentimist või keerukamat õigustust, kasutatakse sageli OAuth 2.0, service account‑ide või JWT‑põhiseid lahendusi. API võtmete kasutamine on lihtne ja laialt levinud, kuid neid tuleb hoolikalt hallata, et vältida volitamata juurdepääsu.