Una chiave API che può tutto è una chiave che non si può affidare

Sceglie i permessi al momento della creazione, dallo stesso catalogo dei ruoli. Una chiave fatta per inviare contatti dal suo sito non può leggere le sue fatture, e il rifiuto viene dal gateway, non da una convenzione di codice. È il modello delle chiavi ristrette di Stripe o dei token a granularità fine di GitHub.

• Permessi scelti dal catalogo RBAC
• Verifica a ogni chiamata, lato gateway
• Chiave segreta o chiave pubblica, secondo l'uso
• Etichetta e nota, per sapere a cosa serve

Una chiave può portare una data di fine. E anche senza data, si applica una finestra di inattività di novanta giorni: una chiave che non si usa più smette di funzionare da sola. È la fuga più banale — una chiave messa in uno script un martedì e dimenticata per tre anni.

• Data di scadenza esplicita, a scelta
• Finestra di inattività di 90 giorni, in aggiunta
• Data dell'ultimo utilizzo mostrata
• Revoca immediata, con l'autore della revoca

La chiave in chiaro esiste solo nel momento in cui la crea: dopo resta solo la sua impronta, e nulla permette di rileggerla — né l'interfaccia, né l'assistenza, né il registro di audit, che traccia l'evento senza mai portarne il valore. Se va persa, se ne crea un'altra e si revoca la precedente.

• Valore mostrato una sola volta, mai in chiaro
• Registro di audit senza segreto né impronta
• Avviso via e-mail su un IP mai visto
• Creazione e revoca attribuite al loro autore