摘要

  • 2026年7月28日，ARIN允许创建非人类服务账户，并把 Authorization 请求头列为 REST API 令牌的优先替代方式；URL 参数仍可使用。
  • 两项分别在2022年提出的建议——服务账户和避免把密钥放进URL——在功能上线后关闭。

URL的工作是指路，不是保管机密。它常常会被代理、服务器和日志系统完整记录。把 API 密钥塞进查询参数，就等于让一串本该保密的字符跟着地址一路留档。

ARIN在7月28日增加了另一种传递方式：使用 Authorization: ApiKey <API_KEY> 请求头。URL里的旧参数仍然有效，但请求头成为优先选项。它解决的问题很具体：密钥不必再写进常被整条记录下来的URL。

这关闭了2022年2月11日提交的建议2022.5。提案提出者指出，系统经常记录完整URL，读日志的人因而可能看到API令牌。ARIN当时同意请求头是更合适的替代办法，并把工作放入工程路线图。功能在2026年7月28日上线，建议于次日关闭。四年多的等待，最后落在一个请求头里。

同一版更新还撤掉了另一道门槛：ARIN Online现在允许创建非人类服务账户。建议2022.11于2022年4月15日提交，要求让程序化集成能使用服务账户。ARIN最初担心的是变更归因：API改了记录，机构需要知道是谁动的手。ARIN在2022年4月已经承认，角色账户或服务账户对客户有用，而且解除创建限制所需工作不多。直到四年后的功能更新，机器账户才正式获得入口。

账户身份与密钥传输是两件事。服务账户让自动化流程有自己的账户名称；请求头改变密钥随请求移动的位置。ARIN的 Reg-RWS 指南仍要求，账户必须关联到对目标记录有权限的 Point of Contact。API 密钥用于认证调用，POC权限决定哪些记录可以修改。

ARIN的密钥指南还给出了生命周期细节：密钥不会自动过期，随时可以停用，而且完整密钥只在创建时显示一次。用户可以创建多把密钥，以便分别跟踪特定请求或报告访问。2024年的咨询也讨论过按IP地址范围限制密钥；ARIN把这项工作留在另行研究和界定范围的阶段。2026年7月的公告宣布了请求头支持，两者有各自的路线。

自动化终于有了自己的名牌，密钥也不用继续贴在地址栏上。接下来要由运营团队给每个机器账户指定负责人，并明确谁能停用它的密钥。

来源