コネクタの追加に必要なのは 4 項目、時間はおよそ 1 分ですが、ほぼ全員が同じ 1 か所でつまずきます。クライアントは認証をどうするかを尋ね、OAuth とリクエストヘッダーを示してきますが、正しい答えは誰も予想しない 3 つめの選択肢、つまり「なし」です。
なぜ「なし」が正しいのか
キーはすでにアドレスの中にあります。そのアドレスに向けたコネクタは、その URL を持つ人に対してすでに開いているドアに向けられているので、OAuth が取り決めることはもう何も残っていません。それでも OAuth を選ぶと、クライアントは決して応答しない認可サーバーを探しに行きます。bearer ヘッダーを加えれば、求めてもいないサーバーに 2 つめの認証情報を送ることになります。
これはセキュリティを迂回する近道ではありません。セキュリティの全体を 1 か所、つまりアドレスに集めているのです。アドレスは、見て、コピーして、貼り付けて、失効させられるものです。3 つの当事者が正しく実装してくれたと信じなければならないフローではありません。
代わりに気を配る場所
- アドレスを認証情報として扱ってください。実際にそうだからです。置いてよいのはクライアントの中だけで、それ以外のどこにも置きません — 共有ドキュメントにも、設定のスクリーンショットにも。
- クライアントごとに 1 つ発行してもかまいません。キーを失効させると、そのキーの上のコネクタだけが止まります。
- アシスタントの仕事が 1 つなら、範囲の狭いアドレスを使ってください。受信トレイを読むことしかできないコネクタは、間違って LinkedIn に投稿することがありません。
- 外に出てしまったらすぐに失効させてください。失効は即時で、新しいキーの発行は一瞬です。
答えのもう半分
アドレスが開いていても耐えられるのは、その向こうにあるものが、それ自身で慎重にできているからです。キャンペーンは 1 ターンに 1 つのアクションしか行わず、その日の予算は、すでに行ったアクションから数えます。あなたの名前が付くものは、あなたの「はい」を待ちます。LinkedIn から一時停止を告げられたら、それを一時停止として受け止め、再試行を重ねて制限に至らせることはしません。アドレスを持つアシスタントでも、1 分間にあなたのアカウントに 20 のことをさせることはできません。ここには、それができるものが何もないからです。
この文章から 1 行だけ覚えるなら、これです。クライアントが認証方法を尋ねてきたら「なし」と答え、ヘッダーは空のままにしてください。
よくある質問
クライアントが「なし」を選ばせてくれない場合は？
それは認証のやり取りではなくヘッダーを求めているので、キーは代わりにそこへ入れます。X-API-KEY に、キーをパスに入れない素のアドレスとともにです。使う価値のあるクライアントはどれも「なし」を用意していて、用意していないものは大抵古いビルドです。更新したほうが近道です。
キーはすべてで 1 つ、それともそれぞれ別に？
複数のクライアントを使うなら、それぞれに 1 つずつです。費用はかからず、ダッシュボードには最後に使われた日時とともに一覧され、失効させるときもコネクタ全部ではなく 1 つだけが止まります。
キーを失効させた瞬間、何が起きますか？
そのキーの上に作られたものはすべて、即座に応答しなくなります。失効したキーを指したままのコネクタは「ツールがない」と報告しますが、これはアドレスを打ち間違えたときと同じ報告です — だから、失効は意図して行い、何が壊れたか探しに行く前に、代わりのキーを発行してください。