Hoe je je account veilig houdt

Wat je leert

Leer hoe je je API-sleutels, gebruikerstoegang en instellingen voor verificatie in meerdere stappen (verificatie in meerdere stappen) kunt controleren om je Klaviyo-account en gegevens beter te beschermen.

Controleer deze instellingen regelmatig, vooral vóór periodes met meer websiteverkeer en meer berichten van je merk.

Voordat je van start gaat

Begin met deze 2 beveiligingscontroles:

1. Beveiligingscheckup voor openbare versus privé API-sleutel
2. Controle van gebruikersreviews en toegang

Voer deze controles uit in de Klaviyo-account die je wilt beveiligen. Als je geen API-sleutels, gebruikers of accountbrede beveiligingsinstellingen kunt beheren, vraag dan je account-eigenaar of een Beheerder om te helpen. Werk samen met je ontwikkelaar als je de code van je website niet beheert.

Beveiligingscheck voor openbare vs. privé-API-sleutel

Je account-API-sleutels openen:

1. Klik linksonder op je accountnaam.
2. Selecteer Instellingen > API-sleutels.

Je openbare sleutel, ook wel je site-ID genoemd, staat in de tabel in het eerste gedeelte van deze pagina, terwijl je privésleutels in de tweede tabel met het label Privé-API-sleutels staan.

• Openbare API-sleutel
  Je openbare API-sleutel, ook wel je site-ID genoemd, identificeert je Klaviyo-account. Gebruik het in de Klaviyo JavaScript-bibliotheek en in client-side API-aanroepen. Het is bedoeld om te verschijnen in de openbare code van je website.
• Privé-API-sleutel
  Een sleutel die toegang geeft om gegevens te lezen of te wijzigen, zoals lijsten in Klaviyo, volgens de toegewezen scopes (machtigingen). Behandel privé-API-sleutels als wachtwoorden: bewaar ze op een veilige plek en stel ze nooit bloot in openbare code.
  Privé-API-sleutels beginnen met “pk_”. Nieuwe sleutels bevatten ook je account-ID vóór de willekeurige tekens. Bijvoorbeeld: pk_ABC123_0123456789abcdef0123456789abcdef01. Sommige bestaande sleutels gebruiken de oudere indeling zonder de account-ID.
  

Controleer of alle client-side code je openbare API-sleutel gebruikt

Heb je aangepaste code geschreven met de Learnq-, klOnsite- of Klaviyo-objecten, code die onze API-eindpunten aan clientzijde aanroept, of heb je Klaviyo.js handmatig geïnstalleerd? Als je op een van de bovenstaande vragen ja hebt geantwoord, is het belangrijk om te controleren dat je in deze gevallen alleen je openbare API-sleutel gebruikt.

Je zult elke pagina op je site moeten controleren met aangepaste code. Je kunt beginnen met je homepage:

1. Open je website.
2. Klik met de rechtermuisknop en selecteer Paginabron weergeven.
3. Gebruik de opdracht Zoeken van je browser om in de paginabron te zoeken naar "pk_".
4. Zorg ervoor dat er geen private keys worden gebruikt als company_id, "token"-waarde of, in zeldzame gevallen, accountwaarde.
5. Als je privé-API-sleutels vindt (waarde begint met “pk_”), bekijk dan de sectie hieronder over wat je moet doen als je privé-API-sleutel is blootgesteld.

Wat doe je als je privé-API-sleutel openbaar is gemaakt?

Als je privé-API-sleutel voor de API is gebruikt in plaats van je openbare API-sleutel, vervang en verwijder dan zo snel mogelijk de blootgestelde sleutel. Als je deze in de code van je website vervangt, wordt deze niet ingetrokken. Als je deze verwijdert, kunnen applicaties zich er niet meer mee blijven authenticeren, dus die applicaties hebben vervangende sleutels nodig.

1. Leg de blootgestelde sleutel veilig vast, zodat je deze later kunt identificeren, en vervang deze vervolgens in de client-side code van je website door je openbare API-sleutel.
2. Identificeer elke integratie en applicatie die de blootgestelde private key gebruikt, inclusief aangepaste server-side code.
3. Maak voor elke integratie en applicatie die een blootgestelde privé-API-sleutel gebruikt, een nieuwe sleutel aan in je accountinstellingen door Privé-API-sleutel maken te selecteren.
4. Voer een beschrijvende naam voor de privésleutel van de API-sleutel in en selecteer het toegangsniveau dat de integratie nodig heeft. Om toegang tot specifieke API-bereiken te beperken, kies je aangepaste sleutel en geef je alleen de machtigingen die de integratie nodig heeft. Klik op maken.
5. Klik op de bevestigingspagina op Sleutel kopiëren en sla de sleutel op een veilige locatie op voordat je de pagina sluit. Je kunt de volledige sleutel niet opnieuw bekijken.
6. Werk elke betrokken integratie of applicatie bij met de nieuwe private API-sleutel en controleer of die werkt. Bewaar private sleutels in server-side configuratie, niet in openbare websitecode.
   • Verwijderen kan niet ongedaan worden gemaakt. Controleer de naam van de sleutel en de laatste tekens voordat je het verwijderen bevestigt.
7. Ga terug naar Instellingen > API-sleutels. Zoek de blootgestelde sleutel op met de naam en de laatste 4 tekens die in de tabel worden weergegeven. Open het actiemenu en selecteer Verwijderen. Klik vervolgens op Verwijderen in het bevestigingsvenster.

Als je de blootgestelde sleutel verwijdert, wordt de toegang tot je account ingetrokken. Hiermee worden geen toegangen of wijzigingen die vóór het verwijderen hebben plaatsgevonden, ongedaan gemaakt.

Ga voor meer informatie over de beveiliging van API-sleutels naar Hoe je de API-sleutels van je account beheert.

Check van gebruikersbeheer en gegevenstoegang

Het is belangrijk om te begrijpen wie toegang heeft tot verschillende functies en informatie in je account. Om alle gebruikers te zien die toegang hebben tot je account:

1. Klik linksonder op je accountnaam.
2. Selecteer Instellingen > Gebruikers.

Controleer regelmatig de gebruikers binnen je account en hun toegangsniveaus. Deze 3 activiteiten helpen je account te beveiligen:

Je kunt de accounteigenaar niet verwijderen. Als je account SCIM gebruikt om gebruikers te beheren via een identity provider (IdP), verwijder je de gebruiker uit je IdP voordat je die in Klaviyo verwijdert.

• Gebruikersbeoordeling
  Controleer alle gebruikers en identificeer iedereen die geen toegang meer nodig heeft. Als het tabblad inactive gebruikers wordt weergegeven, bekijk dit dan ook, net als actief gebruikers. Open het actiemenu naast een gebruiker, selecteer Gebruiker verwijderen (of Uitnodiging annuleren voor een openstaande uitnodiging) en klik vervolgens op Gebruiker verwijderen in het bevestigingsvenster. Veelvoorkomende redenen om toegang te verwijderen zijn onder andere:
  • Rolwijziging binnen het bedrijf
  • Beëindiging van het dienstverband van een werknemer
  • Contractvervaldatum van een externe leverancier.
• Rolcontrole
  Controleer of elke gebruiker alleen de machtigingen heeft die hij nodig heeft voor zijn werk. Bekijk voor meer informatie over de machtigingen die zijn inbegrepen bij elke statische gebruikersrol Gebruikersbeheer en privileges.
• Verificatie in meerdere stappen
  Verificatie in meerdere stappen voegt een verificatiestap toe, zoals een eenmalige code, aan je gebruikersnaam en wachtwoord. Het helpt het risico op ongeautoriseerde toegang te verkleinen als iemand je wachtwoord te pakken krijgt. Om verificatie in meerdere stappen te vereisen voor gebruikers in je account:
  1. Ga naar Instellingen > Beveiliging.
  2. Zet onder Methoden voor verificatie in meerdere stappen Vereisen voor alle gebruikers in je account aan. Als de vereiste al wordt afgedwongen, laat je deze ingeschakeld.
  3. Als je de vereiste hebt ingeschakeld, klik je in het bevestigingsvenster op Inschakelen.

Gebruikers die inloggen met een gebruikersnaam en wachtwoord en verificatie in meerdere stappen nog niet hebben ingesteld, krijgen de volgende keer dat ze inloggen de vraag om dit te doen. Nieuwe gebruikers krijgen deze vraag tijdens de registratie. Gebruikers die inloggen via verplichte Single Sign-on (SSO) volgen je SSO-authenticatievereisten.

Extra hulpbronnen