Kā zemnieks nosūtīja API atslēgu savam izstrādātājam

1. daļa no "Kā Agdir izmanto SecretDrop" — sērija par to, kur agtech uzņēmums un tā klienti patiesībā dalās noslēpumiem.

Agdir piedāvā saimniecībām reālu API. No Agdir pārskata Iestatījumi → API atslēgas saimniecības administrators var izveidot atslēgu un izmantot to, lai iegūtu savus lauku datus, augsnes paraugus un laika apstākļus jebkurā veidā — pielāgotā informācijas panelī, grāmatvedības sinhronizācijā vai darbuzņēmēja integrācijā.

Tieši to vēlējās viena saimniecība. Viņi bija nolīguši ārštata izstrādātāju neliela informācijas paneļa izveidei, kas iegūtu viņu lauku datus no Agdir. Zemnieks pieteicās, atver Iestatījumi → API atslēgas un noklikšķināja izveidot. Agdir atdeva 64 rakstzīmju atslēgu — parādītu vienu reizi.

Tagad neērtā daļa: kā nodod šo atslēgu savam izstrādātājam?

Parastais veids un kāpēc tas ir problēma

Zemnieka pirmā doma bija acīmredzamā: ielīmēt to e-pastā. Vai WhatsApp. Vai tajā pašā pavedienā, kur viņi apsprieda projektu.

Lūk, kas ar to nav kārtībā:

• Atslēga tagad ir mūžīga. API atslēga e-pastā sēž abās iesūtnēs uz visiem laikiem — un tiek dublēta, sinhronizēta visās ierīcēs un indeksēta meklēšanā. Šī atslēga var lasīt saimniecības datus, kamēr tā ir derīga.
• Tā izplatās. E-pasti tiek pārsūtīti. Tērzētavas tiek redzētas uz aizņemta vai pazaudēta telefona. Vieta, kur dzīvai akreditācijas informācijai nevajadzētu būt, ir vieta, kas visu atceras — un e-pasts ir veidots visu atcerēties.
• Šīs atslēgas ir svarīgas. Agdir ierobežo uzņēmumu līdz trim aktīvām atslēgām un tās beidz derēt. Atslēga ir īsta atslēga uz īstiem datiem, nevis izmešana. Tā ir pelnījusi atbilstošu apiešanos.

Ko viņi darīja tā vietā

Zemnieks ielīmēja atslēgu SecretDrop un saņēma vienreizēju saiti. Viņi nosūtīja saiti izstrādātājam — e-pasts bija labi, jo saite nav atslēga.

Izstrādātājs to atvēra vienu reizi, nokopēja atslēgu savās vides mainīgajās, un noslēpums iznīcinājās. Ja kāds jebkad ritina atpakaļ pa šo e-pasta pavedienu, viņš atradīs beigtu saiti un neko vairāk.

Atslēga veica tieši vienu ceļu — no zemnieka ekrāna uz izstrādātāja konfigurāciju — un neatstāja nevienu kopiju pa ceļam.

Secinājums

Ja Agdir izveidojat API atslēgu, apstrādājiet nodošanu tikpat rūpīgi kā pašu atslēgu:

• Nosūtiet atslēgu kā iznīcināšanas pēc lasīšanas saiti, nevis kā tekstu e-pastā vai tērzētavā.
• Lūdziet izstrādātājam to pareizi saglabāt (vides mainīgajā vai noslēpumu pārvaldniekā) — nekad atpakaļ dokumentā vai ziņojumā.
• Mainiet to, ja tā kādreiz noplūst, un dzēsiet atslēgas, kuras vairs nelietojat, no Iestatījumi → API atslēgas.

Atslēga, kas pastāvēja tikai sekundes, kas vajadzīgas, lai to ielīmētu konfigurācijas failā, ir atslēga, kuru nākotnes pārkāpums nevar atrast.

---

Nākamais sērijā: Kā Agdir komanda nodod piegādātāju akreditācijas datus.
Vajag nosūtīt atslēgu vai paroli vienreiz un likt tai pazust? Izmēģiniet SecretDrop — konts nav vajadzīgs.