Выпуск API-токенов вместо служебного пароля

Интеграции должны работать от имени сервиса с ограниченными правами. Использование личной учётной записи в скриптах и CI запрещено политикой.

Когда нужен токен

• Скрипты и задания CI, обращающиеся к корпоративным API.
• Внутренние сервисы, которым нужен доступ к реестру или заявкам.
• Выгрузки отчётов по расписанию.

Порядок выпуска

1. Определите минимальный набор прав: чаще всего достаточно api:read.
2. Создайте приложение в портале разработчика и укажите владельца-сервис.
3. Получите токен по client_credentials и сохраните секрет в хранилище секретов, а не в репозитории.
4. Настройте обновление токена до истечения срока, не полагайтесь на ручную замену.

Правила обращения

• Один токен — одна интеграция. Общий токен на несколько систем не выдаётся.
• Права пересматриваются раз в 180 дней вместе с владельцем.
• Скомпрометированный токен отзывается немедленно, без согласования.
• Действия токена попадают в журнал так же, как и действия пользователя.