Телеграм канал «Мастерская IT-решений»

API Key — Ключ от "подъезда", а не от "квартиры"

В прошлых постах мы говорили о пользовательских сессиях: Вася логинится, получает JWT, ходит с ним по системе. Сегодня о другом сценарии. К вам стучится не Вася, а какая-то программа. CRM партнера, плагин для IDE, CI/CD пайплайн. Как ей представиться?

Самый простой способ — API Key.

↔️ Что такое API Key на самом деле
API Key - это длинная статическая строка, которую сервер выдает клиенту один раз. Клиент прикрепляет её к каждому запросу, обычно в заголовке:

GET /api/v1/orders
X-API-Key: sk_live_3f4a8b2c9d1e5f7a0b3c6d8e


Сервер смотрит в БД (или в конфиг), находит этот ключ, понимает: "А, это стучится партнер ООО Ромашка. У них тариф Базовый, 1000 запросов в минуту".

Ключевое отличие от JWT/сессий:

☢️ JWT отвечает на вопрос: "Кто этот человек и какие у него права?"
☢️ API Key отвечает на вопрос: "Какое приложение/сервис стучится и какой у него тариф/возможеости и тд?"

API Key аутентифицирует клиентское приложение, а не конечного пользователя. Он не содержит внутри себя данных. Он не подписан. Это просто идентификатор, который ищут в базе.

↔️ Где API Key хорош и уместен

Сценарий 1: Server-to-Server (M2M)
Ваш бэкенд по крону ночью стучится к API службы доставки, чтобы актуализировать трек-номера. Никакого "пользователя" нет. Есть только ваш сервер. Он использует API Key, который ему выдала служба доставки. Этот ключ лежит в секретах (Vault, переменные окружения), и никто его не видит.

Сценарий 2: Публичные, нечувствительные данные
Виджет погоды на лендинге. Ему нужен ключ, чтобы API погоды просто считало количество запросов и не давало превысить лимит. Тут нет персональных данных, нет риска. Ключ часто светится прямо во фронтенде, и это допустимо.

Сценарий 3: Идентификация для Rate Limiting'а и аналитики
Даже если API открыт, вы хотите знать, кто его долбит. Выдаете ключ и видите: "Партнер Бета генерит 90% трафика, но не принес ни одной продажи". Или: "Кто-то с ключом партнера Гамма превысил SLA в 10 раз, режем ему доступ".

Дальше разберем нюансы использования такого ключа

Кажется, пора возвращаться к полезному контенту. В Москве, такая осень солнечная и тёплая, что никак не могла вернуться к исследовательско-учебному настроению. Надеюсь, вы не слишком заскучали 😊

Тем, кому не удалось выиграть билет, всегда остается промокод на скидку 20% - DB20_AM18

Начинаем розыгрыш билета на «Аналитический марафон #18 · AI-Powered BA/SA»

🕹Напоминаю условия участия:
1. Правильные ответы на 3 вопроса
2. Верный ответ дан самым первым
3. Ранее вы не выигрывали билет в данном сообществе

Несмотря на ИИ-тематику конференции, вопросы остаются верными тематике канала 🙃

Вопросы:

1. Нужно передать данные между сервисами без общей БД и без прямых вызовов. Что использовать? (назовите паттерн/способ, а не продукт)

2. Вам нужно гарантировать, что сообщение будет обработано ровно один раз, но брокер поддерживает только at-least-once. Что нужно добавить на стороне потребителя? (достаточно назвать свойство, а не детали реализации)

3. В архитектуре нужно обеспечить согласованность (можно eventually) между сервисами, но использовать распределённые транзакции (которые обеспечивают строгую согласованность) по типу двухфазного коммита не нужно. Какой паттерн здесь подойдет?

Друзья, привет!
А я снова с хорошими новостями.
🎲 19 октября в 11.00 буду разыгрывать бесплатный билет на полный доступ на конференцию от Аналитического марафона. Хоть я и не участвую в этой конфе как спикер, но выступают мои хорошие знакомые, которые всегда радуют супер-полезным материалом!


🗳 24 октября пройдёт онлайн-конференция «Аналитический марафон #18 · AI-Powered BA/SA» для бизнес- и системных аналитиков и их руководителей.
В программе — опытные эксперты: Максим Смирнов, Иннокентий Бодров и другие спикеры марафона, а также новые лица.

Практики рассказывают, как они работают и что используют: ИИ-ассистентов, агентов, RAG — с промптами, разбором кейсов и демонстрациями. Среди тем:
🔹 AI-разведка чужой системы: как собрать проверяемый контекст из документации и кода — Иннокентий Бодров
🔹 Прочтёт ли AI-агент ваши требования? Новый стандарт организации агентской памяти от Google — Максим Смирнов
🔹 РискиИ: обратная сторона делегирования — Анастасия Кайнова
🔹 Принципы обучения нейронных сетей в биометрии — Ирина Орлова

Программа дополняется!
Ближайшее подорожание билетов — за неделю до конференции.

📅 24 октября 2026, 10:00–17:00 МСК, онлайн
🎟 Программа и билеты

🕹Условия участия в розыгрыше:
1. Правильные ответы на 3 вопроса
2. Верный ответ дан самым первым
3. Ранее вы не выигрывали билет в данном сообществе

Специальный промокод на скидку 20% для подписчиков сообщества - DB20_AM18

❤️ Наша коллега Дарья Борисова представит ПСБ на ИТ-конференции «Стачка»

3 октября в рамках секции «Разработка. Системный и бизнес-анализ» она проведет воркшоп, где участники научатся находить четыре типа опасной связанности и границу между сервисами. А еще усвоят железное правило разделения данных, которое нарушают почти все.

Разрезать монолит легко. Сложно не создать распределённый монолит, который болит ещё сильнее.

✅ Собираетесь посетить «Стачку»? Приходите поддержать Дарью!