Hur skyddar jag API-nycklar för RCS?
En hemlig API-nyckel ska finnas i en skyddad servermiljö. Lägg den inte i webbsidans kod, ett publikt dokument eller en supportskärmbild.
Begränsa nyckelns åtkomst där leverantören erbjuder det. Bestäm vem som kan byta den och hur ni agerar vid en misstänkt läcka. Håll test och produktion åtskilda när tjänsten tillåter det. Prova också nyckelbyte i förväg, så att ett nödvändigt byte inte behöver bli ett okontrollerat avbrott.
En hemlig nyckel ska inte skickas till kundens webbläsare eller ligga i ett publikt kodexempel. Ge integrationen den åtkomst den behöver och håll test och produktion åtskilda där tjänsten tillåter det. Planera hur en exponerad nyckel spärras och ersätts utan att driftkontrollen tappas. Felsökningsloggar ska visa att autentisering misslyckades, inte skriva ut själva hemligheten.