ГлоссарийБезопасность
API-ключ (API key)
Что такое API-ключ и как правильно с ним обращаться.
API-ключ (API key)
API-ключ — учётные данные, которыми аутентифицируются запросы к API. Вместо логина и пароля ваше приложение отправляет ключ, и система понимает, от кого запрос.
Как устроен
Ключ — это длинная случайная строка, привязанная к тенанту и правам доступа. По ней система определяет, какие индексы доступны и какие операции разрешены.
Как обращаться
Ключ — это секрет, его нельзя светить. Поэтому разделяют: секретный ключ — только на серверной стороне, публичный ключ/токен — для клиентского кода (например, виджета), где секрет всё равно нельзя спрятать. Утечку ключа нужно немедленно отзывать и выпускать новый.
Правильное обращение с ключами — часть базовой гигиены безопасности.