Skip to main content
Du behøver ikke OAuth for at bruge den offentlige API. Til en privat integration på serversiden skal du starte med en API-nøgle med begrænset omfang og følge hurtigstarten. Vælg OAuth client credentials, når jeres sikkerhedspolitik kræver kortlivede adgangstokens, eller når jeres integrationsplatform allerede understøtter dette flow. Begge muligheder anvender en servicekonto. En servicekonto er integrationens identitet og ikke en tredje autentificeringsmetode.

​
Sådan hænger delene sammen

Opret én servicekonto pr. integration. Vælg en API-nøgle eller en OAuth-klient til kontoen; du behøver ikke begge metoder på hver API-anmodning. Ingen af legitimationsoplysningerne kan overstige kontoens aktuelle tilladelser. Hurtigstarten anvender Basic-autentificering. En Bearer-header understøttes også for API-nøgler; brug af denne header betyder ikke, at du har brug for en OAuth-klient.

​
Vælg en API-nøgle til en ligetil integration

Brug en API-nøgle til jeres egne planlagte job, rapporteringsscripts, datapipelines eller andre backend-tjenester, når en hemmelighed, der er gemt i jeres secret manager, opfylder jeres sikkerhedskrav.
  • Send autentificerede anmodninger direkte; der kræves ingen tokenudveksling.
  • Vælg kun de tilladelser, som workloaden har brug for, og angiv en udløbsdato.
  • Roter nøglen ved hjælp af dens overlapsperiode, eller tilbagekald den øjeblikkeligt, hvis den er kompromitteret.
En integration med API-nøgle behøver ikke en OAuth-klient. Start med hurtigstarten, og se derefter API-nøgler for oprettelse og rotation.

​
Vælg OAuth til kortlivede adgangstokens

Brug OAuth client credentials til en fortrolig backend-tjeneste, når jeres organisation kræver adgangstokens med udløbstid, eller et integrationsværktøj forventer client_credentials-grant.
  1. Opret en OAuth-klient med begrænset omfang til servicekontoen.
  2. Autentificer klienten over for jeres regionale tokenendepunkt ved hjælp af den klientautentificeringsmetode, der blev angivet under opsætningen.
  3. Send det udstedte adgangstoken sammen med dine API-anmodninger. Hent et nyt token, før det nuværende token udløber.
OAuth tilføjer tokenhentning og håndtering af udløb til din integration. Klienthemmeligheden skal stadig opbevares sikkert og roteres; kortlivede tokens fjerner ikke dette ansvar. Client credentials anvender ikke refresh tokens: autentificer klienten igen for at hente et nyt adgangstoken. OAuth-adgang skal være aktiveret for jeres organisation. Hvis den ikke er aktiveret, skal du bruge en API-nøgle eller kontakte Living Security Support om jeres behov. Se OAuth client credentials for oprettelse af klienter, hemmeligheder, der kun vises én gang, tilbagekaldelse og gendannelse.

​
Opbevar legitimationsoplysninger på din backend

API-nøgler til servicekonti og OAuth-klienthemmeligheder hører hjemme i lagring af hemmeligheder på serversiden. Placer dem ikke i browserkode, mobilapps, kildekodestyring eller logfiler. En legitimationsoplysning til en servicekonto handler som workloaden; den logger ikke en person ind og tilbyder ikke et flow til kundesamtykke. Brug den regionale API-vært for jeres organisation med begge metoder. Et skift af autentificeringsmetode ændrer ikke ressource-URL’en, API-versionen eller de tilladelser, som en operation kræver.