Безпека інтеграцій — це не тільки TLS
Найгірший сценарій — “витік ключа” або надто широкі права. Тому інтеграційна авторизація має бути спроєктована: scopes, ротація, аудит і швидке відкликання.
1) API keys
- Добре для server-to-server, якщо потрібні прості права.
- Обов’язково: ротація, TTL, allowlist IP (де можливо), rate limits.
2) OAuth
- Потрібен, якщо користувач “дає доступ” сторонньому сервісу.
- refresh tokens, revoke, короткий access token TTL.
3) Scopes
Scopes мають відповідати бізнес‑операціям (read_orders, write_orders), а не “admin”. Least privilege — головний принцип.
4) Аудит
Логуй: clientId, actorId (якщо є), endpoint, requestId, і ключові зміни (write). Це допомагає розслідувати інциденти.
Підсумок
Надійні інтеграції починаються з доступів: правильна модель токенів, scopes, ротація і аудит. Тоді зростання інтеграторів не збільшує ризики.