Ajouter un connecteur demande quatre champs et environ une minute, et presque tout le monde bloque sur le même. Le client demande comment il doit s'authentifier, propose OAuth et un en-tête de requête, et la bonne réponse est la troisième option que personne n'attend : « aucune ».
Pourquoi « aucune » est la bonne réponse
La clé est déjà dans l'adresse. Un connecteur pointé dessus est pointé vers une porte déjà ouverte à quiconque détient cette URL, de sorte qu'il ne reste rien à organiser pour OAuth. Choisissez OAuth malgré tout et le client part chercher un serveur d'autorisation qui n'allait jamais répondre ; ajoutez un en-tête bearer et vous aurez envoyé un second identifiant à un serveur qui n'en demandait pas.
Ce n'est pas un raccourci qui contourne la sécurité. Cela concentre toute la sécurité en un seul endroit — l'adresse — qui est une chose que vous pouvez voir, copier, coller et révoquer, plutôt qu'un flux dont vous devez croire que trois parties l'ont correctement implémenté.
Où va la vigilance à la place
- Traitez l'adresse comme l'identifiant, parce que c'en est un. Sa place est dans le client et nulle part ailleurs — ni dans un document partagé, ni dans une capture d'écran de vos réglages.
- Créez-en une par client si vous le souhaitez. Révoquer une clé ne met hors service que les connecteurs construits dessus.
- Utilisez les adresses ciblées quand un assistant n'a qu'une seule mission. Un connecteur qui ne peut que lire la boîte de réception ne peut pas publier sur LinkedIn par erreur.
- Révoquez immédiatement si l'une fuite. C'est instantané, et en créer une autre prend une seconde.
L'autre moitié de la réponse
Si une adresse ouverte est tenable, c'est parce que ce qui se trouve derrière est prudent de lui-même. Une campagne fait une action par tour et décompte le budget du jour à partir des actions déjà réalisées. Tout ce qui porte votre nom attend votre accord. Une pause imposée par LinkedIn est traitée comme une pause, et non retentée jusqu'à provoquer une restriction. Un assistant qui a l'adresse ne peut toujours pas faire exécuter vingt actions en une minute à votre compte, parce que rien ici n'en est capable.
Si vous ne retenez qu'une ligne de tout cela : quand le client demande comment s'authentifier, répondez « aucune », et laissez les en-têtes vides.
Questions fréquentes
Et si un client ne me laisse pas choisir « aucune » ?
Alors il demande un en-tête plutôt qu'une identité, et la clé va là à la place : X-API-KEY, avec l'adresse simple et sans clé dans le chemin. Tout client qui vaut la peine d'être utilisé propose « aucune » ; ceux qui ne le font pas sont en général de vieilles versions, et mettre à jour est le chemin le plus court.
Une seule clé pour tout, ou une par client ?
Une par client, si vous en utilisez plusieurs. Elles ne coûtent rien, le tableau de bord les liste avec la dernière utilisation de chacune, et révoquer l'une met alors hors service un seul connecteur et non tous.
Que se passe-t-il à l'instant où j'en révoque une ?
Tout ce qui est construit dessus cesse de répondre, immédiatement. Un connecteur qui continue de pointer vers une clé révoquée signale qu'il n'a aucun outil, ce que signale aussi une adresse mal saisie — révoquez donc en connaissance de cause, et créez la clé de remplacement avant de chercher ce qui a cassé.