API-Schlüssel

Wenn ein Programm mit einem Dienst spricht statt eines Menschen, der auf einer Website herumklickt, weist es sich meist mit einem API-Schlüssel aus: eine lange Zeichenfolge, die Sie vom Anbieter bekommen und in Ihren Code oder Ihre Konfiguration schreiben. Jede Anfrage mit diesem Schlüssel gilt als Ihre, wird also auch Ihrem Konto berechnet. In der Praxis ist das ein Passwort, das nie abläuft, bis Sie es selbst zurückziehen.

Deshalb sind geleakte Schlüssel eine so verlässliche Quelle des Ärgers. Sie landen in öffentlichen Code-Repositorien, Screenshots und kopierten Schnipseln, und jemand anders verbraucht Ihr Budget oder greift auf Ihre Daten zu. Zwei Gewohnheiten decken den größten Teil des Risikos ab: Schlüssel nie direkt in Code schreiben, der eingecheckt wird, und einen offengelegten Schlüssel widerrufen statt nur die Datei zu löschen, denn die Versionshistorie behält die alte Kopie.