OAuth i Klienci Maszynowi

Bezpieczne integracje maszyn do maszyn: dane uwierzytelniające klienta, zakresy, haszowane sekrety, rotacja, limity na integrację i ścieżki audytu.

Czym jest ta funkcja?

Nie wszyscy użytkownicy Twojej platformy to osoby siedzące przy klawiaturze. Często najważniejszymi "użytkownikami" są inne systemy oprogramowania — CRM pobierający dane rozmów, usługa backendowa wysyłająca automatyczne wiadomości, pipeline danych eksportujący analizy. Te połączenia maszynowe są obsługiwane przez OAuth i dane uwierzytelniające API: bezpieczny sposób, aby zewnętrzne systemy mogły uwierzytelnić się i programowo interagować z Twoją platformą.

Dlaczego to ma znaczenie dla Twojego biznesu

Integracje API są istotną częścią umów z przedsiębiorstwami. Kiedy duży klient chce połączyć Twoją platformę z ich wewnętrznymi narzędziami, potrzebuje bezpiecznego, audytowalnego i zarządzalnego sposobu na to. Ta funkcja to umożliwia.

Umożliwia integracje. Klienci mogą połączyć Twoją platformę z ich istniejącym stosem technologicznym bez ręcznej interwencji przy każdym żądaniu.
Bezpieczeństwo, które możesz audytować. Każde połączenie ma swoje własne dane uwierzytelniające. Jeśli jedno zostanie skompromitowane, unieważniasz tylko to jedno — nie wszystko. Ślad audytu pokazuje dokładnie, co każde połączenie robiło.
Limity użycia na integrację. Możesz ustalić, ile żądań dana integracja może wykonać dziennie, chroniąc się przed niespodziewanymi wzrostami kosztów spowodowanymi niekontrolowanym skryptem lub źle skonfigurowanym narzędziem zewnętrznym.
Płynna reakcja na incydenty. Jeśli klucz API klienta zostanie ujawniony, proces jego unieważnienia, wydania nowych danych uwierzytelniających i powiadomienia ich jest uproszczony i dobrze udokumentowany — minimalizując szkody i przestoje.

Jak to działa (bez technicznego żargonu)

Administrator rejestruje nową integrację w panelu administracyjnym, nadając jej nazwę i definiując, co może robić (jej zakresy) oraz ile żądań może wykonać.
System generuje dane uwierzytelniające — identyfikator klienta i sekret. Sekret jest pokazywany tylko raz, a następnie przechowywany tylko jako bezpieczny skrót (jak hasło — nawet platforma nie może go zobaczyć ponownie po utworzeniu).
Zewnętrzny system uwierzytelnia się za pomocą tych danych uwierzytelniających, aby uzyskać token dostępu na czas ograniczony, który dołącza do każdego żądania.
Każde żądanie tokena jest rejestrowane — która integracja, z którego adresu IP, dla której organizacji. Tworzy to pełny ślad audytu.
Użycie jest śledzone w czasie rzeczywistym. Gdy integracja zbliża się do swojego dziennego limitu, zaczyna otrzymywać nagłówki ostrzegawcze. Gdy osiągnie limit, żądania są odrzucane z wyraźnym komunikatem o błędzie, zamiast cicho zawodzić.

Rotacja danych uwierzytelniających (utrzymywanie bezpieczeństwa w czasie)

Dane uwierzytelniające API nie powinny żyć wiecznie. Platforma wspiera rotację danych uwierzytelniających — generując nowe dane uwierzytelniające, dając właścicielowi integracji krótki czas na zaktualizowanie swoich systemów, a następnie unieważniając stare dane uwierzytelniające. To ważne dla:

Rutynowej higieny bezpieczeństwa (rotacja danych uwierzytelniających według harmonogramu)
Odzyskiwania po incydencie (natychmiastowa wymiana skompromitowanych danych uwierzytelniających)
Zakończenia współpracy (trwałe unieważnienie dostępu, gdy partnerstwo się kończy)

Co możesz zrobić jako administrator

Tworzyć, przeglądać i unieważniać integracje z pulpitu administracyjnego
Zobaczyć dziennik ostatnich działań dla każdej integracji (kiedy się uwierzytelniła, ile żądań wykonała)
Rotować dane uwierzytelniające za pomocą prowadzonego interfejsu użytkownika
Ustalać dzienne limity żądań dla każdej integracji
Natychmiast wyłączyć dowolną integrację jednym kliknięciem, jeśli coś wydaje się podejrzane

Czego można się spodziewać w planach rozwoju

Zespół buduje:

Przechowywanie danych uwierzytelniających w postaci skrótów i interfejs do rotacji danych uwierzytelniających (szacowany czas 2 tygodnie)
Egzekwowanie limitów dla każdej integracji z śledzeniem użycia w czasie rzeczywistym (szacowany czas 3 tygodnie)

Gdy te funkcje będą dostępne, zapewnią Tobie i Twoim klientom widoczność i kontrolę potrzebną do bezpiecznych, integracji na poziomie przedsiębiorstwa.