Skip to main content
API-nøkler autentiserer forespørsler til /v1 Public API. Hver nøkkel tilhører en tjenestekonto og opprettes fra kontoens detaljside i Developer Hub. Bruk en API-nøkkel med begrenset omfang for en privat backend-integrasjon når sikker lagring og rotasjon av en hemmelighet oppfyller kravene deres. Det er ikke behov for OAuth-klient eller utveksling av token. Se Autentisering hvis organisasjonen deres i stedet krever kortlevde OAuth-tilgangstoken.

​
Nøkkelens oppbygning

  • Identifikator — begynner med ak_. Trygg å referere til i saker, logger og konfigurasjon; den gir ingen tilgang i seg selv.
  • Hemmelighet — begynner med lsk_live_. Dette er legitimasjonen integrasjonen deres presenterer. Den vises én gang, ved opprettelse eller rotasjon, og kan ikke hentes frem senere. Nøkkellisten viser bare de fire siste tegnene (for eksempel lsk_live_…xQc4), slik at dere kan knytte en rad til legitimasjonen en kaller har.
  • Tillatelser — en delmengde av tillatelsene til tjenestekontoen som eier nøkkelen, valgt ved opprettelse. En nøkkel kan aldri gjøre mer enn kontoen tillater.
  • Utløp — obligatorisk. Hver nøkkel har en utløpsdato.
Lagre hemmeligheter i en hemmelighetsbehandler i det øyeblikket de vises. Du må aldri sjekke dem inn i versjonskontroll, bygge dem inn i klientsidekode eller dele dem i chat. Alle som har hemmeligheten, kan handle med nøkkelens tillatelser.

​
Opprett en nøkkel

På tjenestekontoens detaljside oppretter du en nøkkel i fire trinn: gi den et navn, velg tillatelsene akkurat denne nøkkelen trenger, velg utløp — 30, 90 eller 365 dager, eller en egendefinert periode på opptil ett år — og gjennomgå. Hemmeligheten vises ved fullføring, én gang. Begrens hver nøkkel til det smaleste settet med tillatelser kalleren trenger, selv om kontoen tillater mer. Hvis en nøkkel lekkes, bestemmer tillatelsene hvor stor skaden kan bli.

​
Roter uten nedetid

Rotasjon utsteder en ny hemmelighet og starter et overlappingsvindu — 1 time, 24 timer eller 7 dager — der den gamle hemmeligheten fortsatt fungerer. Det lar dere rulle ut den nye hemmeligheten i driftsmiljøene deres i eget tempo:
1

Roter nøkkelen

Velg et overlappingsvindu som dekker den tregeste utrullingsveien deres. Den nye hemmeligheten vises én gang — lagre den umiddelbart.
2

Oppdater integrasjonene deres

Erstatt den gamle hemmeligheten overalt der den er konfigurert. Nøkkelens status vises som i overlapping til vinduet avsluttes.
3

Verifiser før vinduet lukkes

Bruk forespørselsloggene for å bekrefte at trafikken har flyttet seg til den nye hemmeligheten. Når overlappingen avsluttes, slutter den gamle hemmeligheten å autentisere.
Roter også før utløp: nøkler som nærmer seg utløpsdatoen flagges som utløper snart i nøkkellisten. En utløpt nøkkel autentiserer ikke lenger — forespørsler som gjøres med den, returnerer en 401 med koden credential_expired.

​
Tilbakekall umiddelbart

Tilbakekall trer i kraft umiddelbart og er permanent — det finnes ikke noe overlappingsvindu og ingen angrefunksjon. Tilbakekall en nøkkel i det øyeblikket dere mistenker at hemmeligheten er eksponert; roter i stedet når dere erstatter en fungerende legitimasjon. Forespørsler som gjøres med en tilbakekalt nøkkel, returnerer en 401 med koden credential_revoked. Hvis dere må stoppe alle nøklene en integrasjon har på én gang, kan dere i stedet deaktivere tjenestekontoen.