Bir API anahtarı, bir program için paroladır. Anahtarı ele geçiren herkes, anahtarın kabul edildiği her yerden, süresi dolana kadar anahtarın izin verdiği işlemleri yapabilir. Bu sayfa, sızdırılan bir anahtarın yol açabileceği zararı küçük tutmanın yollarını gösterir. Anahtar oluşturma ve API çağırma yöntemi Kimlik doğrulama bölümünde anlatılmıştır.
Anahtarlar, menüdeki Developer bölümünde yer alan API Keys üzerinden yönetilir (Admin; yenileme için Owner rolü gerekir).
Bir anahtarın asla yapamayacakları
Bu sınırlar, hangi kutuyu işaretlerseniz işaretleyin her anahtar için geçerlidir:
- Bir anahtar, onu oluşturan üyenin şu anda yapabileceklerinin ötesine asla geçemez: “Sahibinin şu anda yapabileceklerinin ötesine asla geçmez.” Üye bir yetkiyi kaybederse, anahtar da o yetkiyi kaybeder.
- Bir anahtar, yalnızca sahibine ait yetkilere ve kimlik ile erişim modüllerinin (oturum açma, hesaplar, API anahtarları) yetkilerine asla sahip olmaz. Bu nedenle bir anahtar anahtar oluşturamaz, yenileyemez veya üyeleri değiştiremez.
- Bir anahtarın yetkisi, yalnızca ilgili modül kuruluşunuz için açıkken çalışır.
- Bir anahtar taşıyan istek yalnızca o anahtar olarak değerlendirilir; aynı istekteki tarayıcı çerezi yok sayılır.
1. Yalnızca gerekli yetkileri verin
New API Key ekranında, Module permissions seçeneğini modül modül seçin. Her modülde bir Read only hazır ayarı bulunur. Tipik entegrasyonlar:
| Entegrasyon | Yetkiler |
|---|---|
| Cihazları ve geçmişi okuyan bir raporlama aracı | Cihazlar ve telemetri üzerinde Read only |
| Cihazlara limit yazan bir ERP | Cihazları okuma, öznitelik yazma |
| Alarmları onaylayan bir talep sistemi | Alarmları okuma, onaylama |
Her şey için tek bir anahtar kullanmaktan kaçının. Entegrasyon başına bir anahtar, bir sızıntının neyi açığa çıkaracağını netleştirir ve diğerlerini durdurmadan tek bir entegrasyonun erişimini iptal etmenize olanak tanır.
Entegrasyon kapsamları (Read, Write, Admin, SCIM Read, SCIM Write), SCIM provisioning gibi kendi sözleşmesi olan makine uç noktaları içindir. “Yukarıdaki modül yetkileri çoğu entegrasyonun ihtiyacı olan yetkilerdir.”
2. Anahtarı ağlara sabitleyin
IP allowlist (optional): “Her satıra bir alt ağ, örneğin 10.0.0.0/8 veya 203.0.113.7/32.” Bunların dışındaki kaynaklardan gelen çağrılar, bilinmeyen bir anahtarla aynı yanıtla reddedilir; böylece saldırgan hiçbir bilgi edinemez.
Kuruluşunuz, kendi listesi olmayan anahtarlar için varsayılan bir ayar belirleyebilir: API Key Settings > Tenant Subnet Allowlist.
3. Süresi dolmasına izin verin
Her anahtarın bir son kullanma tarihi vardır: varsayılan 90 gün, en fazla 365 gün (“Varsayılan 90 gün, en fazla bir yıl.”). API Key Settings ekranında:
| Ayar | Varsayılan | Kullanım |
|---|---|---|
| Maximum Key Lifetime (days) | 0 (365 günlük üst sınır) | Daha kısa ömürler zorunlu kılmak için düşürün. Varsayılanı da düşürür. |
| Require Expiry on Every Key | Kapalı | Anahtar oluşturan API çağrılarında bir son kullanma tarihi belirtilmesi zorunlu olur. |
| Max Active Keys | 0 (sınırsız) | Aynı anda etkin olabilecek anahtar sayısını sınırlar. |
| Per-Key Rate Limit (requests/minute) | 0 (platform varsayılanı: dakikada 1.000) | Her anahtarın varsayılan istek sınırı. Ekran 0 değerini sınırsız olarak gösterir; platform ise dakikada 1.000 uygular. |
4. Anahtarın sahibini belirleyin
Anahtarı oluşturan üye kuruluştan ayrıldığında anahtar çalışmayı durdurur; ancak Service key olarak işaretlenmişse durmaz (“Evet: oluşturanından sonra da yaşar”). Üretim entegrasyonlarının anahtarlarını servis anahtarı olarak işaretleyin ve her birinden kimin sorumlu olduğunu not edin.
5. Düzenli olarak yenileyin
Rotate key, bir halef anahtar oluşturur: “Bu anahtarın kapsamlarını ve ortamını devralan bir halef anahtar oluşturun. Geçiş süresince her iki anahtar da çalışmaya devam eder, böylece kesinti olmadan geçiş yapabilirsiniz.” Grace window (days) değerini belirleyin; 0 eski anahtarı hemen iptal eder. Rotation history kartı, önceki ve halef anahtarı birbirine bağlar.
- Anahtarı yenileyin ve yeni gizli anahtarı kopyalayın (“Anahtar yenilendi. Yeni gizli anahtarı şimdi kopyalayın.”).
- Yeni anahtarı entegrasyona ekleyin.
- Eski anahtarda Last used ve Last used IP alanlarının değişmeyi bıraktığını kontrol edin.
- Geçiş süresinin dolmasına izin verin ya da eski anahtarı iptal edin.
6. Şüphe duyduğunuzda hemen iptal edin
- Revoke Key: “Bu anahtarı kullanan tüm entegrasyonlar hemen çalışmayı durdurur. Bu işlem geri alınamaz.”
- Deactivate, geri istemeniz olası bir anahtarı durdurur; Activate ise onu yeniden başlatır.
- Bir olay anında bir sahip, birkaç veya tüm anahtarları birlikte iptal edebilir.
7. Anahtarları izleyin
| Sinyal | Nerede |
|---|---|
| Last used, Last used IP, Total verifications | Anahtarın sayfası |
| Uzun süre kullanılmayan bir anahtarın aniden yeni bir adresten kullanılması | Bir denetim olayı (api_key.anomaly.detected) |
| Başarısız doğrulamalar | Denetim olayları (api_key.verify.failed) |
| Oluşturma, yenileme, silme, yetki değişiklikleri | Denetim günlüğü (api_key.created, api_key.rotated, api_key.deleted) |
| Kötüye kullanım | AI firewall, anahtarlarla ilgili olayları kaydeder. Bir anahtarı yavaşlatma veya kapatma eylemleri In development aşamasındadır. Bkz. AI firewall. |
Anahtar listesi, modül bazlı yetkilerden önce oluşturulmuş eski anahtarlar için bir uyarı şeridi de gösterir: her birini açın ve yalnızca ihtiyaç duyduğu modül yetkilerini verin.
Anahtarları saklamak
- Anahtarları entegrasyonunuzun gizli depolamasında tutun; asla kaynak kodda, URL’lerde veya taleplerde tutmayın.
- Test sistemleri için
testanahtarları kullanın; böylece üretim anahtarlarıyla karıştırılmazlar. - Bir anahtar sızdıysa, önce onu iptal edin, ardından denetim günlüğünden nerede kullanıldığını bulun.