Захист API-ключів
Ізоляція та відкликання ключів проєкту.
Розділяйте ключі за магазинами й режимами. Зберігайте секрети на сервері у сховищі секретів, не в коді браузера. Під час ротації спочатку створіть і встановіть заміну, потім відкличте старий ключ. Ключ прив’язаний до проєкту; X-Project-Id не дозволяє його перевизначити.
Див. авторизацію: межі інтеграції та керування відрізняються. Розділяйте секрети Test і Live, зберігайте їх лише на довіреному сервері та виключайте з журналів. Скомпрометований ключ потрібно відкликати й перевірити його використання.