Bir API anahtarını döndürme veya iptal etme

API anahtarları uzun ömürlü bearer jetonlarıdır, bu yüzden onları belirli bir program dahilinde döndürmek — ve biri sızdığında hemen iptal etmek — doğru şekilde yapılmaya değer. Bu makale her iki durumu da ele alır.

Bir anahtarı kesinti olmadan döndürme

Döndürme (rotation), eskisini emekliye ayırmadan önce yeni bir anahtar oluşturmak anlamına gelir, böylece entegrasyonunuzun kimliksiz kaldığı bir boşluk olmaz.

1. Ayarlar → API anahtarları'na gidin ve Anahtar oluştur'a tıklayın.
2. Yeni anahtara amacını netleştiren bir isim verin (ör. production-v2).
3. Değiştirdiğiniz anahtarla aynı rolü seçin.
4. Jetonu kopyalayın — yalnızca bir kez gösterilir.
5. Ortam değişkeninizi veya gizli anahtar yöneticinizi yeni jetonla güncelleyin ve dağıtın (deploy).
6. Yeni anahtar canlıya alınıp çalıştığı doğrulandıktan sonra (Son kullanım sütununu kontrol edin — birkaç dakika içinde değişmeli), Ayarlar → API anahtarları'na dönün ve eski anahtarda İptal et'e tıklayın.

Yenisinin çalıştığından emin olana kadar eski anahtarı aktif tutun. Çok erken iptal ederseniz ve dağıtım henüz yayılmadıysa, trafik 401 hatalarına çarpar.

Sızdırılmış bir anahtarı hemen iptal etme

Bir anahtar açığa çıkarsa — herkese açık bir depoya (repo) itilmiş, günlüklere sızmış, istemci tarafı bir pakete dahil edilmiş — önce iptal edin, sonra araştırın.

1. Ayarlar → API anahtarları, anahtarı ismine veya önekine (prefix) göre bulun (tam jeton görünmese de önek tabloda görünür).
2. İptal et'e tıklayın. İptal, 60 saniye içinde tüm bölgelere yayılır.
3. Yerine geçecek bir anahtar oluşturun ve gizli bilgilerinizi güncelleyin.
4. Ne kadar süre açıkta kaldığını tahmin etmek ve beklenmedik bir etkinlik için denetim yapmanız gerekip gerekmediğini anlamak için iptal edilen anahtarın Son kullanım zaman damgasını kontrol edin.

İptal edilen anahtarlar tabloda bir revoked rozetiyle saklanır, böylece bir kaydınız olur. Yeniden etkinleştirilemezler.

Gizli bilgileri güvenli şekilde güncelleme

Standart desen, anahtarları kodda değil ortam değişkenlerinde saklamaktır:

# .env.local (never committed)
ELIDO_API_KEY=elido_live_xxx...

import { ElidoClient } from "@elido/sdk";

const client = new ElidoClient({ apiKey: process.env.ELIDO_API_KEY! });

CI hatları için platformunuzun gizli bilgi deposunu kullanın (GitHub Actions secrets, GitLab CI variables vb.) ve erişimi olan bir üye ekipten ayrıldığında döndürün.

Canlı entegrasyonlara ne olur

Bir anahtarı iptal ettiğinizde, jetonu zaten göndermiş olan devam eden bir istek yine de tamamlanır — doğrulamayı istek başlangıcında yaparız, yanıt ortasında değil. İptalden sonra başlayan istekler 401 Unauthorized döndürür. SDK'lar 401'de yeniden denemez (bu döngüye girer), bu yüzden entegrasyonunuz hemen başarısız olmaya başlar.

Kısa bir çakışma penceresi planlayın: yenisinin üretimde etkin olduğunu doğrulayana kadar eski anahtarı canlı tutun.

Sorun giderme

Az önce oluşturduğum bir anahtarda 401 alıyorum. Oluşturma anında gösterilen jeton, gizli sonek dahil tam anahtardır. Tablodan yalnızca öneki kopyaladıysanız (ör. elido_abc123), bu çalışmaz — önek yalnızca görüntüleme amaçlıdır. Yeni bir anahtar oluşturun ve tam jetonu kopyalayın.

İptal düğmesi eksik. Anahtar muhtemelen zaten iptal edilmiştir. İptal edilen anahtarlar bir revoked rozeti gösterir ve eylem düğmesi yoktur. Doğru çalışma alanına baktığınızdan emin olun — anahtarlar çalışma alanı kapsamlıdır.

60 saniyelik yayılma penceresi. Bir anahtarı iptal ettiyseniz ve istekler bir an daha başarılı oluyorsa, bu beklenen bir durumdur. Edge düğümlerimiz iptali Redis pub/sub üzerinden senkronize eder; en kötü durum gecikmesi ~60 saniyedir.

Anahtar listeden kayboldu. Denetim amacıyla iptal edilen anahtarları tabloda süresiz olarak tutuyoruz. Bulamıyorsanız, listeyi filtrelemediğinizden emin olun — varsayılan olarak yalnızca-aktif filtresi yoktur, ama isim alanındaki bir metin araması eşleşmeyen satırları gizler.