Où placer une clé API: un en-tête HTTP personnalisé VS l'en-tête d'autorisation avec un schéma personnalisé

Je conçois une API REST à l'aide d'une autorisation / authentification via une clé API.

J'ai essayé de trouver le meilleur endroit pour cela et j'ai découvert que beaucoup de gens suggèrent d'utiliser un en-tête HTTP personnalisé tel que ProjectName-Api-Key, par exemple:

ProjectName-Api-Key: abcde

mais il est également possible et idéologiquement correct d'utiliser l'en- Authorizationtête avec un schéma personnalisé, par exemple:

Authorization: ApiKey abcde

D'un autre côté, j'ai constaté qu'un schéma d'autorisation personnalisé peut être inattendu et non pris en charge par certains clients et conduit à un code personnalisé de toute façon, il est donc préférable d'utiliser un en-tête personnalisé car les clients n'ont aucune attente à ce sujet.

De quelle manière préféreriez-vous envoyer une clé API?

Si vous utilisez l'autorisation, soyez cohérent

Certains diront que ce qui suit n'est pas nécessaire ( et il n'y a pas si longtemps, je serais d'accord avec eux ) mais, de nos jours, si nous utilisons l'en- Authorizationtête, nous devons informer le type du jeton, car les clés API ne sont pas auto-descriptives en soi ¹ .

Pourquoi est-ce que je pense que c'est nécessaire et pourquoi je pense que c'est important? Parce que de nos jours, la prise en charge de différents protocoles d'authentification / autorisation est devenue un incontournable. Si nous prévoyons d'utiliser l'en- Authorizationtête pour tous ces protocoles, nous devons rendre notre service d'authentification cohérent. La manière de communiquer le type de jeton que nous envoyons et le protocole d'autorisation à appliquer doit également figurer dans l'en-tête.

Authorization: Basic xxxx
Authorization: Digest xxxx
Authorization: Bearer xxxx
Authorization: ApiKey-v1 xxxx
Authorization: ApiKey-v2 xxxx

Auparavant, je m'en fichais, mais après avoir travaillé avec des applications clientes dont les mises à jour n'étaient pas garanties (mobiles et capteurs principalement), j'ai commencé à le faire. J'ai commencé à être plus prudent dans la façon dont j'implémente la sécurité afin de pouvoir l'étendre sans déranger les clients et sans trop de douleur côté serveur.

Préoccupations

Les problèmes que j'ai rencontrés lors de la mise en œuvre de mes propres programmes sont similaires à celui commenté.

D'un autre côté, j'ai trouvé une considération qu'un schéma d'autorisation personnalisé peut être inattendu et non pris en charge par certains clients et conduit de toute façon au code personnalisé

Dites clients , dites bibliothèques, frameworks, proxy inverses .

Les avantages

Un avantage important est le cache. Les caches partagés ne mettront pas l'en-tête en cache (et c'est bien sûr bien sûr), sauf indication contraire.

Autorisation ou en-tête personnalisé?

D'après mon expérience, l'implémentation de mon propre Authorizationschéma m'a demandé autant de travail (ou plus) que l'implémentation d'en-têtes d'autorisation personnalisés, avec la légère différence d'avoir plus de liberté de conception et plus de contrôle sur le cache lorsque j'ai utilisé des en-têtes personnalisés. La raison est plutôt stupide, la plupart du temps j'ai le Cache-controlset no-cacheou no-store, ce qui me permet de rendre les appels au serveur plus déterministes (c'est important quand il s'agit de suivi et de test) quelle que soit la topologie du réseau.

^{1: Je trouve cette réponse très claire concernant les clés API}