API-nyckelhantering & Hemlighetsregister – Rotation, behörighet och Excel | Word/PDF

API-nyckelhantering & Hemlighetsregister – mallpaket med fem svenska arbetsdokument, två guider och Excelregister. Skapa ordning bland API-nycklar, klienthemligheter och tjänsteidentiteter utan att samla själva hemligheterna i osäkra kontorsfiler. Dokumentera nyckelägare, systemberoenden, behörigheter, rotation, återkallelse och eventuella säkerhetsavvikelser.

För svenska företag, IT-ansvariga, utvecklingsteam, systemförvaltare och verksamheter som arbetar med API-integrationer, molntjänster, webbhandel eller leverantörsåtkomst. Paketet stödjer organisatorisk dokumentation, inte faktisk teknisk nyckelförvaring eller automatiserad säkerhet.

Dokument och arbetsmallar – fil för fil

Excel – metadataregister och säkerhetsdashboard

Excelarbetsboken innehåller Dashboard, Läs mig, Nyckelregister, Tjänster, Behörigheter, Rotationer, Granskningar, Incidenter och Åtgärder. Varje register innehåller rubriker och rader för företagets egna ofarliga identifierare, ansvariga roller, tillämpningsmiljö, status, datum och evidensreferenser.

Dashboarden summerar nio nyckeltal: registrerade nyckel-ID, verifierade tjänster, granskningar, behörighetsavvikelser, pågående rotationer, markerade återkallelser, öppna incidenter och åtgärder. Samtliga siffror kommer från manuell registrering. Ingen fil ansluter till hemlighetsvalv, testar autentisering, skickar aviseringar, skapar nya nycklar, roterar eller återkallar tekniska åtkomster.

Så används paketet

1. Skapa policy och ansvar. Identifiera vilka slags API-nycklar och klienthemligheter som omfattas, godkänt hemlighetsvalv, roller och beslutsansvar.
2. Inventera metadata. Registrera ofarligt internt nyckel-ID, avsedd konsument, systemägare, miljö och en säker valvreferens som inte innehåller någon del av nyckelvärdet.
3. Pröva behörigheter. Kontrollera i verkliga system att API-scopes och kontotillgångar är begränsade till minsta nödvändiga rättighet.
4. Planera rotation. Identifiera systemberoenden, godkänn underhållsfönster, förbered testfall och tydliga stoppvillkor före byte.
5. Genomför teknisk rotation utanför dokumenten. Skapa och distribuera nytt värde säkert, kontrollera verklig funktion och återkalla föregående nyckel enligt plan. Dokumentera endast ärende- och evidensreferenser.
6. Granska och återkalla vid risk. Vid misstänkt nyckelexponering används separat incidentprocess. Verifiera faktisk teknisk spärr och dokumentera kvarstående risk.
7. Följ upp. Granska tjänsteägare, behörigheter och avslutade integrationer regelbundet, särskilt vid leverantörsbyte eller organisatoriska förändringar.

Viktig säkerhetsinformation – skriv aldrig in hemliga värden

API-nycklar, access-token, refresh-token, klienthemligheter, lösenord, privata kryptonycklar eller nyckelfragment ska inte lagras i Word, PDF eller Excel. Använd i stället ett behörighetsstyrt hemlighetsvalv eller motsvarande teknisk lösning. Kontorsmallarna ska endast innehålla ofarliga metadata och referenser till skyddade system.

En registrerad status såsom ”Verifierad” i Excel bevisar inte att en nyckel verkligen roterats, att gammal åtkomst spärrats eller att rättigheter har minskats. Dessa kontroller behöver genomföras och dokumenteras i faktiska IT-system.

Juridik, teknisk praxis och begränsningar

OWASP:s Secrets Management Cheat Sheet rekommenderar bland annat central hantering, minsta privilegier, livscykelkontroll, spårbarhet, rotation och återkallelse av hemligheter. Det är teknisk vägledning och inte i sig svensk lag. Se OWASP – Secrets Management.

GDPR artikel 32 kräver lämpliga tekniska och organisatoriska säkerhetsåtgärder när personuppgifter behandlas. Vilka åtgärder som behövs beror på ändamål, sammanhang och risker. IMY lyfter bland annat behörighetsstyrning, loggkontroll och skydd av information. Se IMY:s vägledning om säkerhetsåtgärder och dataskyddsförordningen i fulltext.

Specialregler och avtal kan innebära ytterligare krav för vissa verksamheter och leverantörer. Paketet anger därför inte en universell lagstadgad rotationsfrekvens eller garanterar efterlevnad av NIS2, ISO 27001 eller särskilda avtal. Ingen extern juristgranskning eller teknisk penetrationstestning har genomförts.

Vanliga frågor

Vad är ett API-nyckelregister?

Ett register över vilka nyckelidentifierare som hör till olika system, deras syften, ägare, miljöer, åtkomsträttigheter och hanteringsstatus. Ett väl avgränsat register bör inte innehålla själva hemliga API-nyckelvärdena.

Kan jag lagra mina API-nycklar i Excelmallen?

Nej. Filen är avsedd för metadata och ofarliga referenser till ett behörighetsstyrt hemlighetsvalv. Den är inte säker förvaring av faktiska nycklar eller tokenvärden.

Vad betyder nyckelrotation?

Att ersätta en befintlig hemlig autentiseringsuppgift med en ny och därefter kontrollera att de legitima tjänsterna fungerar och att den gamla uppgiften är spärrad eller återkallad.

Roterar Excel API-nycklar automatiskt?

Nej. Excel kan sammanfatta manuell status på planerade och genomförda ändringar. Den utför inte autentisering, säker lagring, rotation eller återkallelse.

Vad gör jag om en API-nyckel har läckt?

Följ verksamhetens incidentrutin, bedöm exponeringen, återkalla eller begränsa åtkomst i det verkliga systemet, ersätt nyckeln säkert och följ upp berörda tjänster och eventuella personuppgifter.

Finns det ett lagkrav på rotation var 90:e dag?

Ingen generell svensk lagstadgad tidsfrist på 90 dagar gäller för alla API-nycklar. Rotationsintervall bestäms bland annat utifrån risk, tillämpning, tekniska möjligheter, avtalsvillkor och särskilda krav.

Är PDF-filerna ifyllningsbara?

PDF-versionerna är sökbara läs- och utskriftsfiler. Word används för redigering och Excel för registerhantering. Interaktiva PDF-formulär ingår inte.

Är alla huvuddokument på engelska?

Nej. De fem huvudmallarna är svenska. En separat engelsk användarguide ingår för att förklara arbetssättet.

Relaterade produkter

För bredare granskning av åtkomsträttigheter finns Behörighetsrevision & Åtkomstgranskning. För kartläggning av integrationsberoenden finns Systemintegration & API-dokumentation (kan vara opublicerad). För uppdatering av sårbara programvaror finns Patchhantering & Sårbarhetsregister (kan vara opublicerad).

Fakta och leverans

Version 1.0, 29 oktober 2026. 7 DOCX + 7 sökbara PDF + 1 XLSX = 15 filer i digital ZIP. AI-assisterad källkontroll mot IMY och OWASP, ingen extern juridisk eller teknisk revision. Filen laddas upp i butikens befintliga Google Drive-leveransmapp; Shopify-utkastet publiceras och får sin Digital Products-fil först efter butiksägarens manuella test och godkännande.