Een beveiligingsbeleid op een API

Klik in de portal bij Omgevingen op Ontwikkeling, en daar op Openen. Flow opent in een nieuw tabblad, en u bent meteen ingelogd.

Klik links in de balk op Beveiliging en bij Beveiligingsbeleid op ＋. Een nieuw beleid laat afnemers binnen met een API-sleutel. Geef het een naam die zegt waarvoor het is.

Onder Vereiste scopes zet u het recht dat elke sleutel moet hebben. Onder IP-allowlist zet u de netwerken waar aanroepen vandaan mogen komen; leeg betekent overal vandaan. Bovenaan leest Flow het beleid in gewone taal voor. Sla het op.

Open de API in de verkenner. Kies bij Beveiligingsbeleid het nieuwe beleid en sla de API op. De uitleg van de API zegt nu dat een afnemer een API-sleutel én het recht nodig heeft.

Met Openen ↗ naast het beleid gaat u terug naar het beleid. Bovenaan staat nu bij welke API's het hoort. Wijzigt u het beleid, dan geldt de wijziging meteen voor al die API's.

Stuurt een ander systeem webhooks, dan ondertekent het elke aanroep met een gedeeld geheim. Maak daarvoor een beleid met Webhook-handtekening, vul de header in en typ het geheim, of kies er een Uit de kluis. Flow bewaart een getypte waarde als geheim met een naam; het beleid onthoudt alleen die naam en toont welke versie het gebruikt. Een nieuwe versie in Geheimen geldt bij de volgende aanroep. Hetzelfde veld verschijnt bij Externe JWT als de identity provider tokens met een gedeeld geheim ondertekent. Controleert Flow de tokens met de sleutels van de identity provider (JWKS), dan zijn issuer en audience verplicht: dezelfde sleutels ondertekenen ook de tokens van andere organisaties, en zonder die twee laat het beleid niemand binnen.