Skip to main content
Du trenger ikke OAuth for å bruke Public API. For en privat integrasjon på serversiden bør du starte med en API-nøkkel med begrenset omfang og følge hurtigstarten. Velg OAuth-klientlegitimasjon når sikkerhetspolicyen din krever kortvarige tilgangstokener, eller når integrasjonsplattformen din allerede støtter denne flyten. Begge alternativene bruker en tjenestekonto. En tjenestekonto er integrasjonens identitet, ikke en tredje autentiseringsmetode.

​
Hvordan delene henger sammen

Opprett én tjenestekonto per integrasjon. Velg en API-nøkkel eller en OAuth-klient for kontoen. Du trenger ikke begge metodene for hver API-forespørsel. Ingen av legitimasjonene kan overstige kontoens gjeldende tillatelser. Hurtigstarten bruker Basic-autentisering. En Bearer-header støttes også for API-nøkler. Bruk av denne headeren betyr ikke at du trenger en OAuth-klient.

​
Velg en API-nøkkel for en enkel integrasjon

Bruk en API-nøkkel for egne planlagte jobber, rapporteringsskript, datapipelines eller andre backend-tjenester når en hemmelighet lagret i hemmelighetsbehandleren din oppfyller sikkerhetskravene dine.
  • Send autentiserte forespørsler direkte, uten tokenutveksling.
  • Velg bare tillatelsene arbeidsbelastningen trenger, og angi en utløpsdato.
  • Roter nøkkelen ved hjelp av overlappingsperioden, eller tilbakekall den umiddelbart hvis den er eksponert.
En integrasjon med API-nøkkel trenger ikke en OAuth-klient. Start med hurtigstarten, og se deretter API-nøkler for opprettelse og rotasjon.

​
Velg OAuth for kortvarige tilgangstokener

Bruk OAuth-klientlegitimasjon for en konfidensiell backend-tjeneste når organisasjonen din krever tilgangstokener som utløper, eller et integrasjonsverktøy forventer client_credentials-tildelingen.
  1. Opprett en OAuth-klient med begrenset omfang for tjenestekontoen.
  2. Autentiser klienten mot det regionale tokenendepunktet ditt ved hjelp av klientautentiseringsmetoden som ble oppgitt under oppsettet.
  3. Send det resulterende tilgangstokenet sammen med API-forespørslene dine. Hent et nytt token før det gjeldende tokenet utløper.
OAuth gir integrasjonen din ekstra oppgaver med å hente token og håndtere utløp. Klienthemmeligheten må fortsatt lagres sikkert og roteres. Kortvarige tokener fjerner ikke dette ansvaret. Klientlegitimasjon bruker ikke oppdateringstokener: autentiser klienten på nytt for å hente et nytt tilgangstoken. OAuth-tilgang må være aktivert for organisasjonen din. Hvis den ikke er aktivert, kan du bruke en API-nøkkel eller kontakte Living Security Support om behovene dine. Se OAuth-klientlegitimasjon for opprettelse av klient, hemmeligheter som vises bare én gang, tilbakekalling og gjenoppretting.

​
Hold legitimasjon på backend

API-nøkler for tjenestekontoer og OAuth-klienthemmeligheter hører hjemme i lagring for hemmeligheter på serversiden. Ikke legg dem i nettleserkode, mobilapper, kildekontroll eller logger. Legitimasjon for en tjenestekonto fungerer som arbeidsbelastningen; den logger ikke inn en person og gir ikke en samtykkeflyt for kunder. Bruk den regionale API-verten for organisasjonen din med begge metodene. Bytte av autentiseringsmetode endrer ikke ressurs-URL-en, API-versjonen eller tillatelsene en operasjon krever.