API-Keys rotieren

​

Vorbereitung

• Ermitteln Sie jede Runtime, jeden Worker, jeden geplanten Task und jede Secret-Referenz, die den alten Key verwendet.
• Dokumentieren Sie Name und Scope des alten Keys, ohne den geheimen Wert zu kopieren.
• Prüfen Sie, wer die erforderliche Portalberechtigung IT, HR oder Company-Admin besitzt.
• Wählen Sie ein Wartungsfenster, wenn der Client Secrets nicht dynamisch neu laden kann.
• Bereiten Sie einen Rollback-Pfad vor, bei dem der alte Key nur dann reaktiviert wird, wenn er weiterhin als vertrauenswürdig gilt.

​

Rotationsablauf

​

Verifizierungsanfragen

curl --request GET \
  --url 'https://api.jobhandy.io/v1/employees?page=1&pageSize=1' \
  --header 'X-API-Key: REPLACEMENT_API_KEY' \
  --header 'X-Request-ID: {{requestId}}'

​

Notfallersatz

1. Deaktivieren Sie ihn sofort.
2. Stoppen Sie bei Bedarf die betroffenen Integrationsinstanzen.
3. Prüfen Sie Request-IDs, Zeitpunkte, Tenants und Operationen in den verfügbaren Logs.
4. Erstellen Sie einen Ersatz mit dem kleinstmöglichen erforderlichen Scope.
5. Stellen Sie den Ersatz bereit und verifizieren Sie ihn.
6. Löschen Sie den alten Key, sobald Untersuchung und Rollback-Entscheidung dies erlauben.

​

Abschlusscheckliste

• Jede Runtime verwendet die neue Secret-Version
• Für jeden erforderlichen Tenant-Kontext war eine geschützte Anfrage erfolgreich
• Keine neuen INVALID_API_KEY-Fehler werden durch veraltete Instanzen verursacht
• Der alte Key ist inaktiv
• Der alte Key wurde gelöscht, sobald kein Rollback mehr erforderlich war
• Rotationsdatum, ausführende Person, Scope und Request-IDs der Verifizierung sind dokumentiert