Conta e acesso
Como posso criar e proteger chaves API?
Escolha o ambiente e o tipo de chave corretos, armazene segredos em segurança e substitua as chaves sem interromper as integrações.
Equipa Toden · 2 min de leitura · Português
Nesta página
Resposta curta
Crie chaves em Developers → Chaves API no ambiente de consola correto. Utilize chaves publicáveis em clientes compatíveis e chaves secretas apenas no seu back-end. Uma chave secreta pode ler resultados confidenciais, por isso trate-a como uma credencial em vez de um rótulo de configuração.
Escolha a chave certa
Os prefixos de teste e ativos identificam Sandbox e Produção. As chaves publicáveis começam por pk_; as chaves secretas começam por sk_. Mantenha um ambiente em todo o fluxo de trabalho, resultado e caminho do webhook.
A criação de uma chave requer a permissão relevante. As chaves secretas são apresentadas uma vez na criação; armazene-os diretamente no seu gestor de segredos aprovado. Não podem ser recuperados posteriormente da lista de chaves. As chaves publicáveis podem ser visualizadas novamente por funções autorizadas.
Restringir onde as chaves são utilizadas
As chaves publicáveis suportam restrições de origem do browser e as chaves secretas suportam restrições de intervalo IP. Teste as restrições no Sandbox antes de as aplicar a uma integração ao vivo. Um endereço de saída de back-end incorreto pode interromper as leituras de resultados.
As restrições de origem do navegador são um controlo do navegador e não um substituto para manter uma chave secreta num servidor fidedigno. Não coloque segredos em aplicações móveis, repositórios públicos, capturas de ecrã, análises ou mensagens de suporte.
Substitua uma chave em segurança
Para a substituição de rotina, crie uma chave do mesmo tipo e ambiente, aplique as restrições pretendidas, implante-a e verifique se a chave antiga já não é utilizada antes de a revogar. Os clientes móveis podem demorar algum tempo a migrar para uma nova chave publicável.
Se um segredo puder ser comprometido, revogue-o imediatamente e siga o processo do incidente. A revogação é imediata e não pode ser anulada. Reveja o registo de auditoria para a criação de chaves, alterações de restrições e revogação, sem esperar que contenha a própria credencial.
Guias relacionados
Este artigo foi útil?