Chiavi API: collegare i programmi senza password condivise
Da agosto i programmi esterni si collegano alla piattaforma con una chiave API dedicata, mentre accessi e sessioni diventano piu solidi.
BlueSky Agent AI ·
Da agosto la piattaforma si puo usare anche senza che una persona digiti le proprie credenziali. Abbiamo introdotto le chiavi API, credenziali di lunga durata che un programma esterno usa per collegarsi e lavorare con gli agenti. Intorno a questa novita sono arrivati diversi interventi su come si entra nella piattaforma e su quanto dura una sessione di lavoro. In tutto diciassette voci di changelog sullo stesso tema.
In sintesi
Ogni utente crea le proprie chiavi API da una sezione dedicata, dando a ciascuna un nome e, se serve, una data di scadenza. La chiave completa compare una sola volta, al momento della creazione, e non viene conservata in chiaro; da li in poi se ne vede solo la porzione iniziale. Ogni chiave si puo rinominare, cercare per nome o revocare quando l'integrazione non serve piu. Sul fronte degli accessi, i tentativi di ingresso sono ora limitati per singolo account e per provenienza, i collegamenti ricevuti via email valgono per una sola apertura e scadono entro ventiquattro ore, e le credenziali predefinite non esistono piu. Le sessioni di lavoro, dal canto loro, si rinnovano da sole.
Una credenziale per i programmi, separata da quella delle persone
Fino a luglio, per far parlare un software esterno con la piattaforma bisognava passare dalle credenziali di qualcuno. Funziona finche quella persona resta in azienda e finche nessuno cambia password. Ed e una pratica scomoda da spiegare quando qualcuno chiede chi abbia fatto cosa.
La chiave API toglie di mezzo il problema. Si crea dalla nuova schermata dedicata, disponibile a titolari e amministratori, indicando un nome che descriva a cosa serve e una data di scadenza, oppure lasciandola senza scadenza se l'integrazione e permanente. Alla conferma la piattaforma mostra la chiave per intero, e quella e l'unica volta in cui e visibile: se il foglietto si perde, la chiave non si recupera e va ricreata.
Nell'elenco ogni chiave si riconosce dai primi sedici caratteri, il doppio degli otto iniziali: con piu integrazioni attive otto non bastavano a capire quale fosse quale. La ricerca per nome vede soltanto le chiavi di chi ha effettuato l'accesso.
Chi prova a entrare, e quante volte
Un limite ai tentativi ripetuti serve a poco se il sistema non riesce a distinguere chi sta bussando. Era esattamente la nostra situazione: dietro al meccanismo che smista le richieste in arrivo, tutti i collegamenti sembravano provenire dallo stesso indirizzo, e il conteggio dei tentativi finiva in un unico calderone. Ora ogni tentativo viene attribuito a chi lo compie davvero, e il limite per account e per provenienza fa il lavoro per cui era stato scritto.
Nello stesso giro di lavoro i collegamenti di accesso ricevuti via email sono diventati monouso, con scadenza entro ventiquattro ore, e sono sparite le credenziali predefinite. Abbiamo inoltre aggiornato undici librerie per cui l'analisi di sicurezza automatica segnalava vulnerabilita note.
La sessione si rinnova mentre lavori
Prima la sessione durava ventiquattro ore dal primo accesso, poi cadeva, dovunque ti trovassi. Chi passa la giornata dentro la piattaforma se ne accorgeva nel modo peggiore, con un'operazione a meta e la schermata di accesso davanti.
Adesso la scadenza si misura sul tempo di inattivita e non su una data fissa calcolata al primo ingresso. Finche la piattaforma viene usata la sessione si rinnova da sola; quando scade davvero, il rinnovo avviene in silenzio e l'operazione in corso arriva a termine senza passare dalla schermata di accesso. L'autenticazione va rifatta dopo un mese di inattivita.
Insieme alla sessione viene rinnovato anche il permesso che il browser usa per aprire i documenti. Sparisce cosi un fastidio ricorrente: file che a meta giornata smettevano di aprirsi senza una ragione visibile.
Il gestionale che chiede una risposta all'agente
Prendiamo un'azienda di componenti meccanici con una quarantina di dipendenti, che usa un agente BlueSky per preparare le risposte alle richieste di preventivo. Finora un addetto del commerciale apriva la piattaforma, incollava la richiesta e riportava a mano la risposta sul gestionale.
Con le chiavi API il collegamento lo fa il gestionale. L'amministratore crea una chiave, la chiama per esempio gestionale-preventivi, le assegna la scadenza a fine anno e la consegna al fornitore che segue l'integrazione. Il gestionale invia le richieste e riceve le risposte dell'agente man mano che arrivano, perche il servizio di risposta in tempo reale accetta ora anche le chiavi API oltre alle sessioni delle persone: la chiave viene verificata in forma cifrata, rifiutata se scaduta, e ogni volta ne viene registrato l'ultimo utilizzo.
Quando il fornitore ha finito, l'amministratore apre la sezione delle chiavi, cerca quella per nome e la revoca. Nessuna password condivisa da cambiare a catena, nessun accesso personale rimasto in giro.
Perche e importante
Una PMI che porta un agente AI dentro i propri processi si trova quasi sempre davanti allo stesso passaggio: collegarlo a un software che l'azienda usa gia. Quel collegamento richiede una credenziale, ed e li che si decide se l'integrazione restera governabile nel tempo oppure diventera una password scritta su un foglio.
Il lavoro di agosto va in due direzioni insieme. Apre la piattaforma ai programmi in modo tracciabile, con chiavi che hanno un nome, una scadenza e traccia dell'ultimo utilizzo. E rende piu difficile entrare a chi non dovrebbe, oltre che meno faticoso restare a chi ci lavora dentro tutto il giorno. Titolari e amministratori trovano tutto nella sezione dedicata alle chiavi di accesso.