Ein Schlüssel stellt den Zugang dar
Behandeln Sie Anmeldeinformationen als vertrauliche Informationen. Sie dürfen nicht in öffentlichen Repositorys, Screenshots, Support-Nachrichten oder an den Browser übermittelten Dateien erscheinen.
Verwenden Sie den Server als Grenze
Das Frontend zeigt möglicherweise Arbeitsbereichsinformationen an, privilegierte Aktionen müssen jedoch über das Backend erfolgen. Autorisierung und Zugriffskontrolle müssen vom Dienst überprüft werden, nicht nur von der Schnittstelle.
Beschränken Sie den Umfang der einzelnen Anmeldeinformationen
Planen Sie Schlüssel mit eindeutigen Namen und Berechtigungen, die für die Anwendung geeignet sind, die sie verwendet. Die Trennung von Entwicklung und Produktion hilft dabei, die Nutzung zu erkennen und bei Bedarf den Zugriff zu widerrufen.
Bereiten Sie sich auf den Widerruf vor
Ein offengelegter Schlüssel muss vom Backend widerrufen werden. Das Entfernen vom Bildschirm oder Browserspeicher ersetzt nicht die tatsächliche Ungültigmachung der Anmeldeinformationen.
Eine Demo ist keine Authentifizierung
Dashboard-Schlüssel sind Beispiele ohne Servicezugriff. Erstellung und Widerruf sind lokal. Die endgültige Implementierung muss sichere Generierung, Prüfung und serverseitige Autorisierung hinzufügen.
