Klucze API
Klucze API uwierzytelniają żądania do API zarządzania ConsentForge. Różnią się od tokenów osadzenia — zachowaj je w tajemnicy i używaj ich wyłącznie ze swojego backendu.
Tworzenie klucza API
Konto → Klucze API → Utwórz klucz
- Podaj opisową nazwę (np. „Synchronizacja backendu — produkcja")
- Wybierz zakresy potrzebne do Twojej integracji (minimum niezbędne)
- Ustaw datę wygaśnięcia (opcjonalne, ale zalecane)
- Kliknij Utwórz
Skopiuj klucz natychmiast — jest wyświetlany tylko raz.
Dostępne zakresy
| Zakres | Dostęp |
|---|---|
properties:read | Listowanie i przeglądanie właściwości |
properties:write | Tworzenie i aktualizacja właściwości |
policies:read | Przeglądanie polityk i wersji |
policies:write | Tworzenie, publikowanie, cofanie polityk |
receipts:read | Przeglądanie paragonów zgody |
receipts:export | Eksportowanie paragonów (duże zestawy wyników) |
webhooks:read | Przeglądanie konfiguracji webhooków |
webhooks:write | Tworzenie i aktualizacja webhooków |
users:read | Listowanie użytkowników konta |
users:write | Zapraszanie i usuwanie użytkowników |
scan:trigger | Wyzwalanie skanowań przez API |
admin | Pełny dostęp — używaj oszczędnie |
Wygaśnięcie klucza
Ustaw datę wygaśnięcia, aby ograniczyć skutki naruszenia bezpieczeństwa klucza. Wygasłe klucze automatycznie przestają działać.
Regularnie rotuj klucze. Aby to zrobić: utwórz nowy klucz → zaktualizuj integrację → usuń stary klucz.
Unieważnianie klucza
Konto → Klucze API → [Nazwa klucza] → Unieważnij
Unieważnienie jest natychmiastowe. Każda integracja używająca klucza zacznie otrzymywać odpowiedzi 401 Unauthorized.
Najlepsze praktyki bezpieczeństwa kluczy
- Przechowuj klucze w zmiennych środowiskowych lub menedżerze sekretów, nigdy w kodzie źródłowym
- Używaj jednego klucza na integrację (łatwiej unieważnić jeden skompromitowany klucz)
- Używaj najwęższego zakresu, który działa dla Twojego przypadku użycia
- Ustaw datę wygaśnięcia dla kluczy używanych w pipeline'ach CI/CD