Как безопасно хранить email API-ключ
Практические правила хранения, ограничения и ротации email API-ключей, чтобы утечка не стала спам-инцидентом.
Email API-ключ может слать почту от имени бренда. Утечёт — атакующий спамит с вашего домена и сжигает репутацию. Относитесь к нему как к паролю.
Хранение
- Ключи — в env-переменных или менеджере секретов.
- Никогда не коммитьте в git и не отдавайте в браузер.
- Только серверные вызовы — ключ не попадает в клиентский код.
Ограничение и ротация
Используйте отдельные ключи на окружение и сервис, чтобы отозвать один, не сломав всё. Ротируйте по расписанию и сразу при подозрении на утечку.
Отправляйте письма, которые доходят до «Входящих»
API и визуальный редактор, SPF/DKIM/DMARC из коробки, аналитика и тёплые IP. Бесплатный тариф — 200 писем в месяц, без карты.
Если ключ утёк
Немедленно отзовите, выпустите новый и проверьте журнал доставки на неожиданные отправки. Быстрый отзыв — лучшая защита.
Сделано для этого
Sendersy поддерживает несколько отзываемых API-ключей и журнал доставки для аудита. Начните бесплатно.
Объясняет, как слать письма из кода. Любит чистые SDK, идемпотентность и понятные вебхуки.
Читайте также
Вебхуки email: реакция на доставку, отказ и открытие в реальном времени
Что такое вебхуки email, на какие события подписаться и как надёжно обрабатывать их в приложении.
Интеграция email API: практический чек-лист
Что важно учесть при интеграции email API — ключи, повторы, вебхуки, подавление и тестирование — в одном чек-листе.