Używaj unikalnych tokenów API z ograniczonymi uprawnieniami.

Unikalne tokeny API z ograniczonymi uprawnieniami minimalizują skutki ewentualnego wycieku jednego z nich.

Token API jako osobny identyfikator dostępu

Token API jest ciągiem znaków używanym przez program, skrypt lub usługę do potwierdzenia prawa dostępu do interfejsu programistycznego. W praktyce pełni funkcję poświadczenia podobnego do hasła, dlatego należy traktować go jako sekret. Unikalność oznacza, że każdy token powinien być przypisany do konkretnej aplikacji, zadania, użytkownika technicznego albo urządzenia, a nie współdzielony przez wiele niezależnych procesów. Dzięki temu można ustalić, który element systemu wykonał dane żądanie i który token należy unieważnić po wykryciu problemu.

Ograniczone uprawnienia oznaczają, że token może wykonywać tylko ściśle określone operacje. Przykładowo aplikacja pobierająca dane może otrzymać dostęp wyłącznie do odczytu wskazanego zasobu, bez prawa tworzenia, modyfikowania lub usuwania rekordów. W zależności od używanego API zakres uprawnień może być zapisany jako lista dozwolonych operacji, zakresów OAuth, ról albo reguł dostępu. Sama nazwa „token” nie określa poziomu bezpieczeństwa; decydują o nim sposób wydawania, zakres dostępu, czas ważności i możliwość szybkiego odwołania.

Zasada najmniejszych uprawnień w praktyce

Projektując token, warto rozpocząć od określenia rzeczywistego przepływu danych i operacji wymaganych przez klienta API. Jeżeli program wysyła zgłoszenia, ale nie powinien odczytywać historii, token nie powinien obejmować uprawnienia odczytu. Jeżeli narzędzie działa tylko na jednym zasobie, dostęp należy zawęzić do tego zasobu, zamiast przyznawać mu uprawnienia do całego konta. Rozdzielenie tokenów dla odczytu, zapisu, automatycznych zadań i ręcznych operacji ułatwia kontrolę oraz ogranicza zakres skutków błędu w jednym komponencie.

Nie należy używać jednego tokena w kodzie produkcyjnym, środowisku testowym i lokalnym komputerze programisty. Każde środowisko powinno mieć oddzielne poświadczenia, ponieważ wyciek z pliku testowego lub logu deweloperskiego nie powinien automatycznie otwierać dostępu do danych produkcyjnych. Tokenów nie umieszcza się na stałe w publicznym repozytorium, kodzie JavaScript wysyłanym do przeglądarki ani w komunikatach błędów. Program powinien pobierać je z bezpiecznej konfiguracji środowiska lub dedykowanego magazynu sekretów, a logowanie żądań powinno maskować cały token albo jego znaczną część.

Rotacja, unieważnianie i obserwacja użycia

Ograniczony zakres nie zastępuje rotacji. Token powinien mieć ustalony cykl wymiany, a system musi umożliwiać utworzenie nowego tokena przed wycofaniem starego. Bezpieczny proces rotacji pozwala przez krótki czas obsługiwać oba poświadczenia: aplikacja przełącza się na nowe, a po potwierdzeniu poprawnego działania stare zostaje unieważnione. W razie podejrzenia ujawnienia sekretu nie należy czekać na planowy termin wymiany. Token trzeba odwołać, sprawdzić historię jego użycia i ocenić, czy konieczna jest zmiana innych poświadczeń.

Kontrola użycia powinna obejmować co najmniej identyfikator tokena, czas żądania, wywołany endpoint, wynik autoryzacji oraz źródło połączenia, o ile takie dane są dostępne w danym systemie. W logach nie zapisuje się wartości sekretu. Nietypowa liczba żądań, próby wywołania operacji spoza przyznanego zakresu, nagła zmiana adresu źródłowego albo seria błędów autoryzacji mogą wskazywać na błędną konfigurację lub użycie przejętego tokena. Limity liczby żądań zmniejszają ryzyko nadużycia, ale nie mogą zastępować kontroli uprawnień.

Bezpieczne użycie tokenów na komputerze

Na laptopie lub komputerze PC token może trafić do pliku konfiguracyjnego, zmiennej środowiskowej, menedżera poświadczeń albo procesu uruchamianego automatycznie. Należy sprawdzić, czy plik nie ma nadmiernych praw odczytu i czy kopie zapasowe, katalogi tymczasowe oraz historia poleceń nie zawierają sekretu. Po zmianie uprawnień użytkownika, reinstalacji systemu lub przekazaniu komputera innej osobie warto przejrzeć lokalne konfiguracje i unieważnić tokeny, których pochodzenia albo dalszego przeznaczenia nie można potwierdzić.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, w tym diagnostyką problemów z konfiguracją aplikacji korzystających z tokenów API. Podczas takiej pracy należy przekazywać serwisantowi minimalny zakres informacji potrzebnych do odtworzenia problemu. Pełnego tokena nie powinno się wysyłać w wiadomości, umieszczać na zrzucie ekranu ani pozostawiać w pliku przekazywanym razem z komputerem. Jeżeli dostęp do sekretu był konieczny podczas diagnostyki, po zakończeniu czynności należy go wymienić lub unieważnić.