Een connector toevoegen kost vier velden en ongeveer een minuut, en vrijwel iedereen loopt vast op hetzelfde veld. De client vraagt hoe hij moet authenticeren, biedt OAuth en een request header aan, en het juiste antwoord is de derde optie die niemand verwacht: geen.
Waarom geen goed is
De sleutel zit al in het adres. Een connector die daarop wijst, wijst naar een deur die al open staat voor wie die URL heeft, dus er is niets meer voor OAuth te regelen. Kies je toch OAuth, dan gaat de client op zoek naar een autorisatieserver die nooit zou antwoorden; voeg je een bearer header toe, dan heb je voor de tweede keer inloggegevens gestuurd naar een server die er niet om vroeg.
Het is geen sluiproute langs de beveiliging. Het brengt alle beveiliging naar één plek — het adres — dat je kunt zien, kopiëren, plakken en intrekken, in plaats van naar een flow waarvan je drie partijen moet vertrouwen dat ze hem goed hebben geïmplementeerd.
Waar de zorg in plaats daarvan heen gaat
- Behandel het adres als de inloggegevens, want dat is het. Het hoort in de client en nergens anders — niet in een gedeeld document, niet in een screenshot van je instellingen.
- Maak er gerust één per client aan. Het intrekken van een sleutel legt alleen de connectors stil die erop zijn gebouwd.
- Gebruik de smalle adressen als een assistent één taak heeft. Een connector die alleen de inbox kan lezen, kan niet per ongeluk op LinkedIn posten.
- Trek direct in als er een uitlekt. Het werkt onmiddellijk en een nieuwe aanmaken kost een seconde.
De andere helft van het antwoord
Een open adres is te overleven omdat wat erachter zit zelf zorgvuldig is. Een campagne doet per beurt één actie en telt het dagbudget uit de acties die al zijn uitgevoerd. Alles waar jouw naam op staat wacht op jouw ja. Een pauze van LinkedIn wordt beantwoord als pauze en niet herhaald tot er een beperking van komt. Een assistent met het adres kan je account nog steeds geen twintig dingen in een minuut laten doen, want niets hier kan dat.
Onthoud je maar één regel hiervan: als de client vraagt hoe je moet authenticeren, zeg dan geen, en laat de headers leeg.
Veelgestelde vragen
Wat als een client me geen “geen” laat kiezen?
Dan vraagt hij om een header in plaats van een identiteit, en de sleutel gaat dan daarheen: X-API-KEY, met het kale adres en zonder sleutel in het pad. Elke client die het gebruiken waard is, biedt “geen” aan; de clients die dat niet doen zijn meestal oude builds, en updaten is de kortere weg.
Eén sleutel voor alles, of er één per client?
Eén per client, als je er meer dan één gebruikt. Ze kosten niets, het dashboard toont ze met het moment waarop elk voor het laatst is gebruikt, en het intrekken van één legt dan één connector stil in plaats van allemaal.
Wat gebeurt er op het moment dat ik er een intrek?
Alles wat erop is gebouwd, houdt onmiddellijk op met antwoorden. Een connector die nog naar een ingetrokken sleutel wijst, meldt dat hij geen tools heeft, en dat meldt een verkeerd getypt adres ook — dus trek bewust in en maak de vervanger aan voordat je gaat zoeken naar wat er kapot is.