أمان مفتاح API للتكامل

أمان مفاتيح API للتكامل

نظرة عامة

توفر Survanta مفاتيح API للتكامل تتيح للأنظمة الخارجية وأدوات المطورين الوصول إلى بيانات المؤسسة برمجياً. توضح هذه الصفحة ما هي مفاتيح API وكيفية تحديد نطاقها وكيفية الحفاظ على أمانها.

ما هو مفتاح API؟

مفتاح API للتكامل هو بيانات اعتماد سرية يقدمها تطبيق خارجي إلى Survanta API لتحديد المؤسسة ومستوى الوصول الممنوح. تُولَّد مفاتيح API وتُدار من قِبَل مشرفي المؤسسة داخل لوحة تحكم Survanta.

النطاق ومستوى الوصول

توفر مفاتيح API للتكامل وصولًا للقراءة فقط عبر ثلاثة نطاقات حساسة لحالة الأحرف، مع خضوعها لخطة المؤسسة:

• ReportsRead — بيانات الاستبيانات الوصفية وملخصات الاستجابات المجمعة
• UsageRead — ملخص استخدام التكامل
• RawResponsesRead — بيانات الاستجابة الوصفية وقيم الإجابات الفعلية لاستجابة محددة وأوصاف الملفات الحالية وتنزيلاتها

لا تمنح مفاتيح API:

• وصول الكتابة (إنشاء أو تعديل أو حذف الاستبيانات أو المستخدمين أو الإعدادات)
• الوصول إلى بيانات مؤسسة أخرى
• صلاحيات مشرف لوحة التحكم
• صلاحيات مشرف المنصة

كل طلب يُقدَّم بمفتاح API مقيّد بالمؤسسة التي أصدرت المفتاح وبالنطاقات التي كُوِّن بها المفتاح.

توليد مفتاح API

تستخدم مسارات Tenant Admin المخولة سطح لوحة TenantIntegrationClients:

1. افتح قائمة عملاء تكامل المؤسسة.
2. اختر إنشاء.
3. أعطِ المفتاح اسماً وصفياً (مثل: "تكامل لوحة التحليلات" أو "مزامنة CRM").
4. حدد النطاقات وتاريخ انتهاء مستقبليًا إلزاميًا ضمن الحد الأقصى المضبوط. يستخدم RawResponsesRead حد العمر الأقصر.
5. أنشئ العميل.
6. انسخ المفتاح فوراً — يُعرَض بالكامل مرة واحدة فقط.

بعد إغلاق نافذة التوليد، لا يمكنك استرداد قيمة المفتاح الكاملة. إذا فقدت المفتاح، يجب عليك توليد مفتاح جديد.

الحفاظ على أمان مفاتيح API

يجب التعامل مع مفاتيح API كما يُتعامَل مع كلمات المرور. اتبع هذه الإرشادات:

• لا تُلتزم بمفتاح API في التحكم بالمصادر (أنظمة التحكم بالإصدار مثل Git). حتى المستودعات الخاصة يمكن أن تُجعَل عامة عن طريق الخطأ.
• احفظ المفاتيح في متغيرات البيئة أو مدير الأسرار، ليس في كود المصدر للتطبيق أو ملفات التكوين التي تُتحقق بها في مستودع.
• لا تشارك المفاتيح عبر البريد الإلكتروني أو الدردشة أو أي قناة غير آمنة أخرى.
• استخدم مفتاحاً واحداً لكل تكامل — بهذه الطريقة، إذا احتاج مفتاح واحد إلى تدوير، لن تتأثر التكاملات الأخرى.
• دوّر المفاتيح بشكل دوري كإجراء احترازي، حتى لو لم يُشتبَه في أي اختراق.

تدوير مفتاح مخترق

إذا اشتبهت في أن مفتاح API قد تعرّض للكشف أو الإساءة:

1. افتح قائمة عملاء تكامل المؤسسة.
2. حدد المفتاح المخترق.
3. استخدم تدوير لاستبدال المفتاح مع الاحتفاظ بالعميل والنطاقات، أو إلغاء لتعطيل العميل.
4. انسخ أي بديل من شاشة العرض لمرة واحدة ذات منع التخزين المؤقت وحدّث النظام المستهلك.

لا توجد فترة انتظار — يسري الإلغاء فوراً.

مراقبة استخدام مفتاح API

يستطيع المسؤولون مراجعة سجل تدقيق العميل المقسم بالصفحات. يحدّث كل طلب تنجح مصادقته LastUsedAt ويكتب إدخال ApiCall مع نقطة النهاية وعنوان IP وبيانات وكيل المستخدم. يحدث ذلك قبل فحص نطاق نقطة النهاية.

الأسئلة الشائعة

هل يمكنني منح مفتاح API صلاحية الكتابة؟ نقاط نهاية التكامل الحالية للقراءة فقط؛ ولا يُعرض عقد كتابة بمفتاح التكامل.

ماذا يحدث للبيانات التي جرى الوصول إليها عبر مفتاح مخترق؟ يوقف إلغاء المفتاح أي وصول غير مصرح به لاحق. البيانات التي ربما قُرئت بالفعل لا يمكن "إلغاء قراءتها". راجع سجلات وصول API لفهم نطاق أي كشف.

هل يمكنني تقييد مفتاح API على عناوين IP محددة؟ لا يوجد حقل قائمة سماح لعناوين IP أو قاعدة فرض لها في عقد عميل التكامل الحالي. تُلتقط عناوين IP كبيانات تدقيق وصفية فقط.