Klucze API
Klucze API uwierzytelniają żądania do API zarządzania ConsentForge. Różnią się od tokenów embed — trzymaj je w tajemnicy i używaj tylko z backendu.
Tworzenie klucza API
Konto → Klucze API → Utwórz klucz
- Wprowadź opisową nazwę (np. "Synchronizacja backendu — produkcja")
- Wybierz zakresy potrzebne dla integracji (minimum konieczne)
- Ustaw datę wygaśnięcia (opcjonalne, ale zalecane)
- Kliknij Utwórz
Skopiuj klucz natychmiast — jest pokazany tylko raz.
Dostępne zakresy
| Zakres | Dostęp |
|---|---|
properties:read | Listowanie i przeglądanie właściwości |
properties:write | Tworzenie i aktualizowanie właściwości |
policies:read | Przeglądanie polityk i wersji |
policies:write | Tworzenie, publikowanie, przywracanie polityk |
receipts:read | Przeglądanie paragonów zgód |
receipts:export | Eksportowanie paragonów (duże zestawy wyników) |
webhooks:read | Przeglądanie konfiguracji webhooków |
webhooks:write | Tworzenie i aktualizowanie webhooków |
users:read | Listowanie użytkowników konta |
users:write | Zapraszanie i usuwanie użytkowników |
scan:trigger | Wyzwalanie skanowań przez API |
admin | Pełny dostęp — używaj oszczędnie |
Wygaśnięcie klucza
Ustaw datę wygaśnięcia, aby ograniczyć skutki w przypadku kompromitacji klucza. Wygasłe klucze przestają działać automatycznie.
Regularnie rotuj klucze. Aby rotować: utwórz nowy klucz → zaktualizuj integrację → usuń stary klucz.
Odwoływanie klucza
Konto → Klucze API → [Nazwa klucza] → Odwołaj
Odwołanie jest natychmiastowe. Każda integracja używająca klucza zacznie otrzymywać odpowiedzi 401 Unauthorized.
Dobre praktyki bezpieczeństwa kluczy
- Przechowuj klucze w zmiennych środowiskowych lub menedżerze sekretów, nigdy w kodzie źródłowym
- Używaj jednego klucza na integrację (łatwiej odwołać pojedynczy kompromitowany klucz)
- Używaj najwęższego zakresu działającego dla Twojego przypadku użycia
- Ustaw datę wygaśnięcia dla kluczy używanych w pipeline'ach CI/CD