Кратко

  • С 28 июля 2026 года ARIN принимает нечеловеческие сервисные аккаунты и рекомендует передавать API-токен в заголовке Authorization; параметр в URL по-прежнему работает.
  • Две разные заявки, поданные в 2022 году, закрылись после запуска функций: одна касалась учётной записи для автоматизации, другая — ключа, попадающего в журналы вместе с URL.

URL показывает путь к ресурсу. Хранилищем секретов он быть не должен. Системы часто записывают полный адрес запроса. Если API-ключ лежит в параметре URL, он попадает и в журнал, где его могут увидеть люди, которым он не нужен.

28 июля ARIN добавила предпочтительный вариант: Authorization: ApiKey <API_KEY>. Ключ передаётся в HTTP-заголовке, а не в адресе запроса. Старый способ с URL остаётся доступным. Конкретный результат — секрет можно вывести из строки, которую системы журналирования обычно сохраняют целиком.

Заявка 2022.5 поступила 11 февраля 2022 года. Её автор объяснил, что журналы часто записывают URL целиком и тем самым раскрывают токен читателям журналов. ARIN сочла заголовок лучшей альтернативой и поставила работу в план разработки. Заявку закрыли 29 июля 2026 года — на следующий день после публикации функции.

В том же обновлении сняли ограничение на создание нечеловеческих сервисных аккаунтов. Заявка 2022.11, поданная 15 апреля 2022 года, просила разрешить такие аккаунты для программных интеграций с REST API. Сначала ARIN беспокоилась об атрибуции изменений: организации важно знать, кто менял записи через API. В апреле 2022 года ARIN уже признала пользу сервисных аккаунтов для клиентов и оценила снятие ограничения как небольшую работу. Реализация заняла ещё четыре года.

Сервисная запись даёт автоматизированной работе собственную идентичность. Заголовок меняет путь секрета. Полномочия на изменение записей по-прежнему определяет существующая связка аккаунта ARIN Online с Point of Contact, у которого есть права на конкретную запись, как описано в руководстве Reg-RWS. API-ключ удостоверяет вызов; POC определяет доступную операцию.

Ключ ARIN не истекает автоматически, его можно отключить в любой момент, а полный ключ показывают только при создании. Несколько ключей можно завести для отслеживания конкретных запросов или доступа к отчётам. В консультации 2024 года обсуждали ещё и ограничения по диапазонам IP-адресов. ARIN отправила этот вопрос на отдельную оценку и планирование. Релиз 2026 года объявил поддержку заголовка; ограничения по IP идут отдельным маршрутом.

У автоматизации наконец появилось собственное имя, а ключу больше не обязательно ехать в адресной строке. Операторам остаётся назначить владельца каждой сервисной учётной записи и определить, кто вправе отключить её ключ.

Источники