Resumo

  • A sugestão ACSP 2011.17 propõe limitar cada chave API por ação, leitura ou escrita e POC representado. A página ainda a classifica como Open.
  • Em 2012, a ARIN calculou cerca de US$ 1.458.000 de engenharia para a proposta; sua última anotação pública é de 2018.

O segredo entra no servidor para economizar trabalho humano. O servidor, porém, não precisa necessariamente dos mesmos poderes da pessoa que criou a chave. Foi esse o argumento que Mike Joseph levou à ARIN em abril de 2011. Uma credencial de automação pode ficar visível a mais gente que o titular da conta; limitar o que ela permite fazer reduz o alcance de quem a copia.

O texto original descreve uma solução com três peças. A primeira escolhe quais ações RESTful e de formulário uma chave pode executar. A segunda separa leitura de escrita para cada tipo de alteração. A terceira restringe a chave a um POC específico, em vez de todos os POCs ligados à conta ARIN Online. Joseph também queria evitar a proliferação de contas de função criadas apenas para obter chaves mais estreitas. A pergunta é de arquitetura: qual autoridade deve viajar dentro de uma credencial entregue a uma máquina?

A ARIN respondeu que colheria opiniões da comunidade. Em abril de 2012, seus técnicos estimaram aproximadamente US$ 1.458.000 em engenharia, além de trabalho relevante de comunicação e documentação. Disseram que controles por função acrescentariam complexidade ao código e poderiam confundir usuários. A nota de abril de 2018 informa que o assunto estava fora do plano de trabalho daquele ano e entraria numa consulta sobre sugestões abertas. Hoje, o índice ACSP continua exibindo 2011.17 como Open. O valor é uma estimativa de 2012, sem poder de descrever o preço atual.

O guia de chaves API documenta uma chave que identifica o usuário, não expira automaticamente e pode ser desativada. Ela pode servir a várias interações; criar várias chaves ajuda a rastrear pedidos localmente. O guia lista registro, DNS, RPKI, DNS reverso e downloads restritos entre os usos. Para chamadas REST, a conta ainda precisa estar vinculada a um POC com autoridade. Identificar a conta e verificar o POC são passos reais, mas o guia não especifica uma lista de ações ou um POC permitido para cada chave individual.

Não há na ficha uma decisão publicada depois de 2018. Uma resolução formal ou documentação de escopos aplicados no servidor mudaria a leitura. Enquanto isso, o operador sabe onde criar e desativar a chave, mas o registro não encerrou publicamente a antiga pergunta sobre o tamanho do seu poder.