Tracer la frontière avant de créer l’écran
Dans l’application hypothétique, la personne saisit offline maps et lance Rechercher. L’appareil doit envoyer cette intention à votre serveur, pas recevoir la clé qui paie les consultations. Un fichier distribué au navigateur peut être inspecté ; une application mobile peut aussi révéler des chaînes intégrées ou des en-têtes sortants. Appeler une valeur exposée à la compilation variable d’environnement ne la rend pas privée.
Conserver la clé côté serveur change ce que le client distribué doit connaître. Il a besoin du contrat de votre application, par exemple des termes de recherche et d’une communauté autorisée. Votre serveur fournit l’en-tête d’authentification de l’archive. Cette architecture exige toujours des contrôles d’accès et une exploitation rigoureuse ; déplacer un secret ne sécurise pas automatiquement toute l’application.
Accepter une petite requête applicative
Pour une première version, votre serveur pourrait accepter des termes et un numéro de page, tout en fixant lui-même subreddit=hiking et limit=3. Validez longueurs et plages, et n’acceptez que les options réellement prises en charge. Ne laissez pas le client fournir un hôte d’archive, un langage de requête arbitraire ou n’importe quel en-tête d’authentification à transmettre. C’est un périmètre applicatif proposé, pas un nouvel endpoint de Reddit App API.
Utilisez X-API-Key ou Authorization: Bearer lors de l’appel à l’archive. Des paramètres invalides rejetés avant réservation ne coûtent pas de crédit ; une réponse vide réussie en coûte un. La validation aide à corriger les erreurs et rend l’intégration prévisible. Elle ne prouve pas que l’archive couvre une date demandée ou qu’une recherche valide renverra des données utiles.
Séparer la connexion au compte
Le cookie Secure HttpOnly du site permet à l’opérateur de gérer son compte et ses factures. La clé API authentifie les consultations de votre serveur. La connexion du lecteur à votre application, si vous en prévoyez une, constitue une autre relation. Ne transmettez pas de cookie du compte du service au lecteur et n’interprétez pas un 401 de clé comme une expiration de sa session applicative.
Votre clé et votre solde sont propres au domaine, pas partagés entre les sites du réseau. Rangez la clé de redditapp.com avec une indication explicite du domaine. Une clé d’une autre marque ne devient pas valable en changeant l’URL de destination. Les règles d’éligibilité à l’essai communes au réseau ne fusionnent pas les soldes des comptes.
Inclure les journaux dans la protection du secret
Lorsque vous déplacez la clé sur votre serveur, vérifiez aussi sa journalisation. Examinez les traces de requêtes, rapports d’exception et outils d’observabilité à la recherche d’en-têtes d’authentification copiés. Conservez un diagnostic utile de l’opération et de son statut sans enregistrer la clé brute, le mot de passe ou les secrets complets des requêtes.
Renvoyez un message sur lequel le lecteur peut agir. Une erreur de clé relève de l’opérateur ; un solde bas, d’une décision de compte ; une limite de requêtes, d’une réduction des envois. Répéter un 401 ou 402 ne corrige pas la cause. Si une réponse est perdue, consignez l’incertitude plutôt que de supposer un échec gratuit ou une réussite confirmée.
Remplacer la clé sans oublier les déploiements
L’inscription montre la clé complète une fois, avant paiement. Ensuite, le compte montre son préfixe, pas une copie récupérable. L’opérateur connecté peut confirmer son mot de passe et régénérer la clé ; l’ancienne devient invalide immédiatement. Listez les environnements serveur qui doivent recevoir la nouvelle clé et mettez-les à jour volontairement. Modifier un stockage de secrets ne garantit pas la mise à jour automatique des processus actifs.
Conservez le mot de passe en lieu sûr : le service ne propose ni réinitialisation ni connexion Google. Après le remplacement, vérifiez le déploiement modifié par une requête volontaire, en gardant à l’esprit qu’une récupération réussie est payante. Maintenez des messages de chargement et d’erreur exacts pendant le changement. Retrouvez sur /fr/#field-notes les notes sur les états et le budget.
