Skip to main content
Ni behöver inte OAuth för att använda det publika API:t. För en privat integration på serversidan bör ni börja med en API-nyckel med begränsad behörighet och följa snabbstartsguiden. Välj OAuth client credentials när er säkerhetspolicy kräver kortlivade åtkomsttoken eller när er integrationsplattform redan stöder det flödet. Båda alternativen använder ett tjänstkonto. Ett tjänstkonto är integrationens identitet, inte en tredje autentiseringsmetod.

​
Hur delarna hänger ihop

Skapa ett tjänstkonto per integration. Välj en API-nyckel eller en OAuth-klient för kontot; ni behöver inte båda metoderna för varje API-begäran. Ingen av autentiseringsuppgifterna kan överskrida kontots aktuella behörigheter. Snabbstartsguiden använder Basic-autentisering. Även en Bearer-header stöds för API-nycklar; att använda den headern innebär inte att ni behöver en OAuth-klient.

​
Välj en API-nyckel för en enkel integration

Använd en API-nyckel för era egna schemalagda jobb, rapporteringsskript, datapipelines eller andra backend-tjänster när en hemlighet som lagras i er hemlighetshanterare uppfyller era säkerhetskrav.
  • Skicka autentiserade begäranden direkt; ingen tokenutväxling krävs.
  • Välj endast de behörigheter som arbetsbelastningen behöver och ange ett utgångsdatum.
  • Rotera nyckeln med hjälp av dess överlappningsperiod, eller återkalla den omedelbart om den har exponerats.
En integration med API-nyckel behöver ingen OAuth-klient. Börja med snabbstartsguiden och se sedan API-nycklar för information om hur du skapar och roterar dem.

​
Välj OAuth för kortlivade åtkomsttoken

Använd OAuth client credentials för en konfidentiell backend-tjänst när er organisation kräver åtkomsttoken med begränsad livslängd eller när ett integrationsverktyg förväntar sig client_credentials-grant.
  1. Skapa en OAuth-klient med begränsad behörighet för tjänstkontot.
  2. Autentisera klienten mot er regionala tokenslutpunkt med den klientautentiseringsmetod som angavs under konfigurationen.
  3. Skicka den erhållna åtkomsttoken tillsammans med era API-begäranden. Hämta en ny token innan den aktuella token går ut.
OAuth innebär att er integration även måste hantera tokenhämtning och utgångstider. Klienthemligheten behöver fortfarande lagras säkert och roteras; kortlivade token undanröjer inte det ansvaret. Client credentials använder inte uppdateringstoken: autentisera klienten på nytt för att få en ny åtkomsttoken. OAuth-åtkomst måste vara aktiverad för er organisation. Om den inte är aktiverad ska ni använda en API-nyckel eller kontakta Living Security Support om era krav. Se OAuth client credentials för information om hur klienter skapas, engångshemligheter, återkallelse och återställning.

​
Behåll autentiseringsuppgifterna på er backend

API-nycklar för tjänstkonton och OAuth-klienthemligheter hör hemma i lagring för hemligheter på serversidan. Lägg dem inte i webbläsarkod, mobilappar, källkodshantering eller loggar. En autentiseringsuppgift för ett tjänstkonto agerar som arbetsbelastningen; den loggar inte in någon person och tillhandahåller inget flöde för kundens samtycke. Använd den regionala API-värden för er organisation med någon av metoderna. Ett byte av autentiseringsmetod ändrar inte resurs-URL:en, API-versionen eller de behörigheter som en åtgärd kräver.