Client credentials akışı, arkasında bir insan kullanıcı bulunmayan servisler arası iletişimde uygulamanın kendi kimliğiyle erişim belirteci aldığı bir OAuth 2.0 yetkilendirme yöntemidir. Bir arka uç servisinin başka bir servisin API’sini çağırması gibi makineden makineye senaryolarda, ortada oturum açacak bir kullanıcı olmadığından klasik yetkilendirme akışları anlamsız kalır; bu boşluğu client credentials doldurur.

Client credentials akışı, uygulamanın kendi kimlik bilgileriyle doğrudan yetkilendirme sunucusundan erişim belirteci aldığı, kullanıcı katılımı gerektirmeyen bir OAuth akışıdır.

Akış Nasıl İşler?

İstemci uygulama, önceden kayıt sırasında aldığı bir istemci kimliği (client_id) ve gizli anahtar (client_secret) ile doğrudan yetkilendirme sunucusunun token uç noktasına başvurur. Sunucu bu kimlik bilgilerini doğrular ve geçerliyse bir erişim belirteci döner. Bu akış OAuth 2.0 içindeki en sade akıştır, çünkü kullanıcı yönlendirmesi, onay ekranı veya yetkilendirme kodu takası içermez.

Dönen belirteç tipik olarak bir JSON Web Token biçimindedir ve içinde uygulamanın hangi kapsamlara (scope) erişebileceği kodlanır. Kaynak sunucu bu belirteci alıp imzasını doğrular ve talep edilen işlemin belirtecin taşıdığı yetkilerle örtüşüp örtüşmediğini kontrol eder. Kullanıcı bağlamı olmadığından, belirtecin izinleri kullanıcıya değil doğrudan uygulamanın kendisine aittir.

Nerede Kullanılır?

Zamanlanmış bir toplu işin veri ambarından rapor çekmesi, bir mikroservisin diğerinin uç noktasını çağırması ya da bir CI/CD sürecinin bulut kaynaklarını sorgulaması bu akışın tipik kullanım alanlarıdır. Ortak nokta, isteği başlatan tarafın bir kişi değil bir sistem olmasıdır. Bu nedenle client credentials, servisler arası API güvenliği mimarilerinin temel yapı taşlarından biridir.

Güvenlik Açısından Dikkat Edilecekler

Bu akışın tüm güvenliği client_secret’ın gizliliğine dayanır; sızarsa saldırgan uygulamanın tüm yetkilerini üstlenir. Bu yüzden gizli anahtar kaynak koduna gömülmemeli, bir gizli bilgi kasasında saklanmalı ve düzenli olarak döndürülmelidir. Belirteçlere yalnızca ihtiyaç duyulan minimum kapsamların verilmesi, olası bir sızıntının etki alanını daraltır.

Client credentials akışının doğru yerde kullanılması, servis kimliklerinin de tıpkı insan kimlikleri gibi merkezî bir Kimlik ve erişim yönetimi disiplini altında yönetilmesini gerektirir. Bu akışın kurumsal mimariye güvenli biçimde oturtulması, bir altyapı ve mimari gözden geçirme çalışmasında değerlendirilen konulardandır.