Nên làm (do)
- Quản lý token/secret như mật khẩu: lưu an toàn, xoay định kỳ, tách theo môi trường.
- Giới hạn phạm vi dữ liệu: chỉ mở field/record cần thiết, đặt filter rõ ràng.
- Ghi log tối thiểu để truy vết: thời điểm, nguồn gọi, kết quả, mã yêu cầu (nếu có).
Không nên làm (don’t)
- Không đưa token vào tài liệu công khai, ảnh chụp màn hình, hoặc đoạn chat.
- Không hardcode token trong frontend.
- Không mở endpoint/field “cho tiện”.
- Không dùng chung một token cho mọi hệ thống và mọi môi trường.
Thực hành theo loại Data source
Portal (Internal/Public)
- Form chỉ mở field cần thiết.
- Public portal nên có bước “Review/Verify” để lọc dữ liệu rác.
Webhook
- Có idempotency (eventId) để tránh tạo trùng.
- Giới hạn field được phép ghi.
API
- Token theo môi trường + rotation.
- Tách read-only vs write.
Connected app
- Chốt ownership (source of truth).
- Chỉ chia sẻ “đủ dùng” theo dataset và quyền.
- One-way ưu tiên cho bàn giao; two-way chỉ dùng khi có lý do rõ.