Straiv-API-Scopes richtig setzen — weniger ist mehr

Wenn Sie einen Straiv-API-Key erzeugen, legen Sie fest, welche Rechte dieser Key im Straiv-Konto hat — den sogenannten Scope. Für jedes StraivPMS-Modul gibt es einen minimalen Scope, der ausreicht, um das Modul zu betreiben. Warum lohnt es sich, keinen Scope zu vergeben, der über den minimalen hinausgeht?

Prinzip des minimalen Rechtsbedarfs

Ein API-Key mit weniger Rechten ist ein API-Key mit weniger Angriffsfläche. Gelangt ein Key in die falschen Hände — etwa durch einen Vorfall bei einem Dienstleister, ein versehentliches Commit in ein Code-Repository, eine Datenpanne bei einer Cloud-Umgebung —, ist der Schaden bei einem Key mit minimalem Scope entsprechend begrenzt. Ein API-Key, der nur reservations:read darf, kann keine Reservierung löschen. Ein Key, der nur meldeschein:write darf, kann keine Preise ändern.

Typische Scopes je Modul

Für das Meldeschein-Modul reicht ein Scope aus reservations:read guests:read meldeschein:write. Für das Feedback-Modul reicht reservations:read journey:read. Für das Analytics-Modul reicht reservations:read journey:read — mit dem Zusatz-Scope payments:read, wenn Umsatz-Auswertungen genutzt werden sollen. Für das Adyen-Payment-Modul brauchen Sie reservations:read payments:write.

Separate Keys je Modul

Wir empfehlen, für jedes StraivPMS-Modul einen eigenen API-Key im Straiv-Workspace zu erzeugen. So können Sie einzelne Module bei Bedarf gezielt sperren, ohne die anderen zu beeinträchtigen. Der StraivPMS-Workspace unterstützt Sie beim Verwalten mehrerer Keys — jede Modul-Karte trägt den Zusatz „verbunden mit Key: X".

Rotation und Ablauf

Wir empfehlen einen jährlichen Key-Wechsel („Rotation"). Der Wechsel dauert nur wenige Minuten: neuen Key in Straiv erzeugen, in StraivPMS eintragen, Verbindung prüfen, alten Key in Straiv widerrufen. Wenn Sie einen Key erzeugen, mit einem Ablaufdatum, endet der Zugriff automatisch — kein Vergessen, keine Alt-Keys, die sich in den Straiv-Einstellungen sammeln.