Benodigde licentie
| Abonnement | Elk abonnement |
| Toegang | Admin |
Met een OAuth-toegangstoken. API-tokens werken nog wel, maar stoppen op 30 april 2027 helemaal.
Hoe authenticeer ik een API-verzoek?
Met een OAuth-toegangstoken, meegestuurd als Authorization: Bearer {token}. Het geldt voor die ene Zendesk-omgeving waarvan de OAuth-client het heeft uitgegeven. De notitie van Zendesk is niet mis te verstaan: klanten die basisauthenticatie of API-tokens gebruiken, zullen naar OAuth moeten overstappen voor de beveiliging en voor wat er nog komt.
API-tokens, en wat ze je kosten
Die werken nog. Stuur {e-mailadres}/token:{api_token} als basisauthenticatie mee. Het zijn automatisch gegenereerde wachtwoorden, dus wie er een heeft kan optreden als iedereen in het account, admins inbegrepen. Een account kan er 256 hebben; verwijder de ongebruikte, en verdachte meteen.
Verouderd heeft nu datums. Nieuwe accounts kunnen geen tokens meer maken, vanaf 27 oktober 2026 kan niemand dat nog, en op 30 april 2027 stoppen ze allemaal, ook voor webhooks. 30 dagen ongebruikt en een token deactiveert zichzelf; 60 dagen later is het weg.
Iets verspreiden onder andere klanten
Dan zijn globale OAuth-tokens geen voorkeur maar een eis, want de Developer Terms verbieden een klant zijn API-gegevens met jou te delen.
Wat bepaalt hoeveel schade een lek aanricht?
Het account achter de sleutel. Die draagt de rechten van die gebruiker, dus een sleutel op een admin kan alles wat een admin kan, verwijderen inbegrepen. Zet een integratie op een eigen account met niet meer toegang dan het werk vraagt. Die ene stap is het verschil tussen een lek dat vervelend is en een lek dat ernstig is.
Twee praktische verschillen
Verzoeken vanuit de browser vanaf een ander domein werken met een OAuth-token en niet met een API-token. En geen van beide hoort in een repository, een gedeeld configuratiebestand of een chatbericht: allebei openen ze elk klantgesprek dat je hebt.
Opmerkingen
0 opmerkingen
Artikel is gesloten voor opmerkingen.