Uw API-token veilig bewaren

Wie uw token heeft, kan alles lezen wat u kunt lezen: uw domeinen, uw rapporten, de IP-adressen die namens u verstuurden en uw actiepunten. Wijzigen kan hij niets, maar dat is schrale troost als het om uw verzendgegevens gaat.

Waar het token thuishoort

• In een omgevingsvariabele of een geheimenkluis op uw server.
• In de instellingen van uw monitoringsysteem, als dat geheimen versleuteld bewaart.

Waar het niet thuishoort

• Niet in een browser of een app. Alles wat op het toestel van een bezoeker draait, is uit te lezen. Laat uw eigen server de aanvraag doen en geef de uitkomst door.
• Niet in uw versiebeheer. Ook niet in een privérepository: een token in de geschiedenis blijft daar staan, ook na het weghalen.
• Niet in een adresbalk of een logbestand. Zet hem in de Authorization-kop, niet als parameter in de URL; URL's belanden in serverlogs, in proxy's en in browsergeschiedenis.
• Niet in een gedeeld document of een chatbericht. Heeft een collega toegang nodig, nodig hem dan uit als gebruiker.

Nakijken en intrekken

Bij Instellingen staat wanneer uw token voor het laatst is gebruikt. Ziet u daar iets wat u niet verwacht — gebruik terwijl uw koppeling stillag — trek hem dan meteen in. Dat kan daar met één knop en werkt onmiddellijk.

Een nieuw token aanmaken vervangt het oude. Plan dat dus op een moment dat u uw koppeling kunt bijwerken, anders staat die er even uit.

Goede gewoonten

• Vervang het token als iemand met toegang uit dienst gaat.
• Gebruik het alleen vanaf de systemen die het nodig hebben.
• Bewaar geen kopieën "voor het geval dat". Kwijt is een nieuwe aanmaken, en dat kost een minuut.