Menambahkan konektor membutuhkan empat isian dan sekitar satu menit, dan hampir semua orang tersangkut di isian yang sama. Klien menanyakan bagaimana ia harus mengautentikasi, menawarkan OAuth dan header permintaan, dan jawaban yang benar adalah opsi ketiga yang tidak diduga siapa pun: tidak ada.
Mengapa “tidak ada” itu benar
Kunci sudah ada di alamat. Konektor yang diarahkan ke sana diarahkan ke pintu yang sudah terbuka bagi siapa pun yang memegang URL itu, jadi tidak ada lagi yang perlu diatur OAuth. Pilih OAuth juga dan klien akan mencari server otorisasi yang sejak awal tidak akan menjawab; tambahkan header bearer dan Anda telah mengirim kredensial kedua ke server yang tidak memintanya.
Ini bukan jalan pintas yang melewati keamanan. Ini memindahkan seluruh keamanan ke satu tempat — alamat — yang bisa Anda lihat, salin, tempel, dan cabut, bukan alur yang harus Anda percayai telah diimplementasikan dengan benar oleh tiga pihak.
Ke mana kehati-hatian dialihkan
- Perlakukan alamat sebagai kredensial, karena memang begitu. Tempatnya di klien dan tidak di tempat lain — bukan di dokumen bersama, bukan di tangkapan layar pengaturan Anda.
- Buat satu per klien kalau mau. Mencabut kunci hanya menjatuhkan konektor yang dibangun di atasnya.
- Pakai alamat yang sempit ketika asisten hanya punya satu tugas. Konektor yang hanya bisa membaca kotak masuk tidak mungkin memposting ke LinkedIn karena salah.
- Cabut segera kalau ada yang bocor. Itu seketika, dan membuat yang lain hanya butuh sedetik.
Separuh jawaban yang lain
Alasan alamat terbuka masih aman dipakai adalah karena yang ada di belakangnya berhati-hati dengan sendirinya. Sebuah kampanye mengambil satu tindakan per giliran dan menghitung anggaran hari itu dari tindakan yang sudah diambil. Apa pun yang memuat nama Anda menunggu persetujuan Anda. Jeda dari LinkedIn dijawab sebagai jeda, bukan dicoba ulang sampai berujung pembatasan. Asisten yang memegang alamat itu tetap tidak bisa membuat akun Anda melakukan dua puluh hal dalam semenit, karena tidak ada apa pun di sini yang sanggup.
Kalau Anda hanya ingat satu baris dari semua ini: ketika klien menanyakan cara autentikasi, jawab tidak ada, dan biarkan header kosong.
Pertanyaan yang sering diajukan
Bagaimana kalau klien tidak membolehkan saya memilih tidak ada?
Berarti ia meminta header, bukan identitas, dan kuncinya ditaruh di sana: X-API-KEY, dengan alamat polos tanpa kunci di jalurnya. Setiap klien yang layak dipakai menyediakan opsi tidak ada; yang tidak menyediakannya biasanya build lama, dan memperbarui adalah jalan yang lebih singkat.
Satu kunci untuk semuanya, atau masing-masing satu?
Masing-masing satu, kalau Anda memakai lebih dari satu klien. Kunci tidak berbiaya, dasbor mendaftarnya beserta waktu terakhir tiap kunci dipakai, dan mencabut satu kunci hanya menjatuhkan satu konektor, bukan semuanya.
Apa yang terjadi saat saya mencabut satu kunci?
Semua yang dibangun di atasnya langsung berhenti menjawab. Konektor yang masih menunjuk ke kunci yang sudah dicabut melaporkan bahwa ia tidak punya alat, sama seperti yang dilaporkan alamat yang salah ketik — jadi cabutlah dengan sengaja, dan buat penggantinya sebelum Anda mulai mencari apa yang rusak.