Bir konektör eklemek dört alan ve yaklaşık bir dakika alır; neredeyse herkes aynı alanda takılır. İstemci nasıl kimlik doğrulaması gerektiğini sorar, OAuth ile bir istek başlığı sunar ve doğru yanıt, kimsenin beklemediği üçüncü seçenektir: hiçbiri.
Neden hiçbiri doğru
Anahtar zaten adresin içinde. Ona yönelen bir konektör, o URL'ye sahip olan herkese zaten açık olan bir kapıya yönelmiş demektir; yani OAuth'un ayarlayacağı bir şey kalmaz. Yine de OAuth'u seçerseniz istemci hiçbir zaman yanıt vermeyecek bir yetkilendirme sunucusu aramaya çıkar; bir bearer başlığı eklerseniz, bunu istemeyen bir sunucuya ikinci bir kimlik bilgisi göndermiş olursunuz.
Bu, güvenliği atlatan bir kestirme değildir. Güvenliğin tamamını tek bir yere taşır — adrese — ki bu, görebileceğiniz, kopyalayabileceğiniz, yapıştırabileceğiniz ve geçersiz kılabileceğiniz bir şeydir; üç tarafın doğru uyguladığına güvenmeniz gereken bir akış değildir.
Özen bunun yerine nereye gidiyor
- Adresi kimlik bilgisi gibi ele alın, çünkü öyledir. Yeri istemcidir ve başka hiçbir yer değildir — paylaşılan bir belge değil, ayarlarınızın ekran görüntüsü değil.
- İsterseniz istemci başına bir tane oluşturun. Bir anahtarı geçersiz kılmak yalnızca ona dayanan konektörleri devre dışı bırakır.
- Bir asistanın tek bir işi olduğunda dar adresleri kullanın. Yalnızca gelen kutusunu okuyabilen bir konektör, yanlışlıkla LinkedIn'de gönderi paylaşamaz.
- Biri dışarı sızarsa hemen geçersiz kılın. Bu anında olur ve yenisini oluşturmak bir saniye sürer.
Yanıtın öbür yarısı
Açık bir adresin katlanılabilir olmasının nedeni, arkasındaki şeyin kendi başına özenli olmasıdır. Bir kampanya her turda tek bir eylem yapar ve günün bütçesini zaten yapılmış eylemlerden sayar. Adınızı taşıyan her şey sizin onayınızı bekler. LinkedIn'den gelen bir duraklama, bir kısıtlamaya dönüşene kadar yeniden denenmek yerine duraklama olarak karşılanır. Adrese sahip bir asistan yine de hesabınıza bir dakikada yirmi şey yaptıramaz, çünkü burada hiçbir şey bunu yapamaz.
Bundan tek bir satır hatırlayacaksanız: istemci nasıl kimlik doğrulanacağını sorduğunda “yok” deyin ve başlıkları boş bırakın.
İnsanların sorduğu sorular
Bir istemci “yok” seçmeme izin vermezse ne olur?
O zaman bir kimlik yerine bir başlık istiyordur ve anahtar bunun yerine oraya gider: X-API-KEY, yolda anahtar olmadan düz adresle. Kullanmaya değer her istemci “yok” seçeneğini sunar; sunmayanlar genellikle eski sürümlerdir ve güncellemek daha kısa yoldur.
Her şey için tek anahtar mı, ayrı ayrı mı?
Birden fazla istemci kullanıyorsanız her biri için ayrı. Hiçbir maliyeti yoktur, pano onları her birinin son kullanıldığı zamanla listeler ve birini geçersiz kılmak o zaman hepsini değil yalnızca bir konektörü devre dışı bırakır.
Birini geçersiz kıldığım anda ne olur?
Ona dayanan her şey hemen yanıt vermeyi bırakır. Geçersiz kılınmış bir anahtara hâlâ işaret eden bir konektör, aracı olmadığını bildirir; yanlış yazılmış bir adres de aynı şeyi bildirir — bu yüzden bilerek geçersiz kılın ve neyin bozulduğunu aramaya başlamadan önce yenisini oluşturun.