Skip to main content
API-nycklar autentiserar förfrågningar till /v1 Public API. Varje nyckel tillhör ett tjänstkonto och skapas från kontots informationssida i Developer Hub. Använd en API-nyckel med begränsad omfattning för en privat backend-integration när det räcker att lagra och rotera en hemlighet på ett säkert sätt. Ingen OAuth-klient eller tokenutbyte behövs. Se Autentisering om din organisation i stället kräver kortlivade OAuth-åtkomsttoken.

​
Nyckelns uppbyggnad

  • Identifierare — börjar med ak_. Säker att hänvisa till i ärenden, loggar och konfiguration; den ger ingen åtkomst i sig själv.
  • Hemlighet — börjar med lsk_live_. Det är de autentiseringsuppgifter som din integration presenterar. Den visas en enda gång, vid skapande eller rotation, och kan inte hämtas senare. Nyckellistan visar endast de fyra sista tecknen (till exempel lsk_live_…xQc4) så att du kan matcha en rad mot de autentiseringsuppgifter som en anropare har.
  • Behörigheter — en delmängd av det ägande tjänstkontots behörigheter, som väljs vid skapandet. En nyckel kan aldrig göra mer än vad kontot tillåter.
  • Giltighetstid — obligatorisk. Varje nyckel har ett utgångsdatum.
Lagra hemligheter i en hemlighetshanterare i samma stund som de visas. Checka aldrig in dem i versionshantering, bädda inte in dem i kod på klientsidan och dela dem inte i chatten. Alla som har hemligheten kan agera med nyckelns behörigheter.

​
Skapa en nyckel

På tjänstkontots informationssida skapar du en nyckel i fyra steg: ge den ett namn, välj de behörigheter som just den här nyckeln behöver, välj en giltighetstid — 30, 90 eller 365 dagar, eller en anpassad period på upp till ett år — och granska. Hemligheten visas när du är klar, en enda gång. Begränsa varje nyckel till den snävaste uppsättning behörigheter som dess anropare behöver, även när kontot tillåter mer. Om en nyckel läcker avgör dess behörigheter hur stor skadan kan bli.

​
Rotera utan driftstopp

Vid rotation utfärdas en ny hemlighet och ett överlappningsfönster inleds — 1 timme, 24 timmar eller 7 dagar — under vilket den gamla hemligheten fortsätter att fungera. Då kan du distribuera den nya hemligheten i dina driftsättningar i din egen takt:
1

Rotera nyckeln

Välj ett överlappningsfönster som täcker din långsammaste driftsättningsväg. Den nya hemligheten visas en enda gång — lagra den omedelbart.
2

Uppdatera dina integrationer

Ersätt den gamla hemligheten överallt där den är konfigurerad. Nyckelns status visas som i överlappning tills fönstret löper ut.
3

Verifiera innan fönstret stängs

Använd förfrågningsloggarna för att bekräfta att trafiken har flyttats till den nya hemligheten. När överlappningen upphör slutar den gamla hemligheten att autentisera.
Rotera gärna också före utgångsdatumet: nycklar som närmar sig sitt utgångsdatum flaggas som snart utgående i nyckellistan. En utgången nyckel slutar att autentisera — förfrågningar som görs med den returnerar ett 401 med koden credential_expired.

​
Återkalla omedelbart

Återkallelse träder i kraft omedelbart och är permanent — det finns inget överlappningsfönster och ingen ångrafunktion. Återkalla en nyckel så snart du misstänker att dess hemlighet har exponerats; rotera i stället när du ersätter en felfri nyckel. Förfrågningar som görs med en återkallad nyckel returnerar ett 401 med koden credential_revoked. Om du behöver stoppa alla nycklar som en integration har på en gång, inaktivera i stället dess tjänstkonto.