Proteção de Chaves de API

Uma chave de API é uma sequência secreta que identifica e autoriza um cliente que chama uma API.

Quem tiver a chave poderá agir como esse cliente, portanto as chaves devem permanecer secretas.

Trate uma chave de API com o mesmo cuidado que uma senha.

Uma chave exposta permite que um invasor faça solicitações, aumente os custos e acesse dados, tudo isso parecendo um cliente confiável.

Um erro comum é colocar uma chave diretamente no código:

Isso acaba no repositório e no histórico, onde qualquer pessoa com acesso pode lê-la.

Mantenha as chaves fora do código, em variáveis de ambiente.

O segredo fica no ambiente, não nos seus arquivos de código-fonte.

Adicione arquivos secretos ao .gitignore para que nunca sejam incluídos no repositório:

Se uma chave já tiver sido incluída no repositório, removê-la depois não será suficiente; ela deverá ser substituída.

Nunca incorpore uma chave secreta ao código da interface ou do aplicativo móvel.

Qualquer pessoa pode inspecionar o aplicativo e extraí-la. Mantenha as chaves secretas no servidor e chame a API de terceiros a partir dele.

Em produção, armazene as chaves em um gerenciador de segredos dedicado.

Ferramentas como o Vault ou um serviço de segredos na nuvem criptografam as chaves, controlam o acesso e registram quem as lê.

Conceda a cada chave apenas as permissões de que ela precisa.

Uma chave somente de leitura não poderá excluir dados mesmo que seja exposta. A definição do escopo limita os danos de qualquer chave comprometida.

Substituição significa trocar as chaves segundo um cronograma e imediatamente após qualquer suspeita de vazamento.

Chaves de curta duração reduzem o período em que uma chave roubada continua sendo útil para um invasor.

Restrinja ainda mais as chaves, permitindo apenas determinados IPs ou domínios.

Depois, monitore o uso. Tráfego inesperado ou novos locais podem revelar que uma chave foi roubada.

Se uma chave vazar, aja rapidamente:

• Revogue a chave antiga imediatamente
• Emita uma nova
• Revise os registros em busca de uso indevido

A rapidez limita os danos que um segredo vazado pode causar.

Onde uma chave secreta de API deve ser armazenada em um aplicativo web de produção?

Proteja as chaves de API como senhas: mantenha-as fora do código e do Git, armazene-as em variáveis de ambiente ou em um gerenciador de segredos, limite-as ao privilégio mínimo, substitua-as regularmente, restrinja e monitore seu uso e revogue rapidamente qualquer chave exposta.