如何创建和保护 API 密钥？

简短回答

在正确的控制台环境中的开发人员 → API 密钥下创建密钥。在支持的客户端中使用可发布密钥，并仅在后端使用秘密密钥。密钥可以读取敏感结果，因此请将其视为凭证而不是配置标签。

选择正确的键

测试和实时前缀标识沙箱和生产。可发布的密钥以 pk_ 开头；密钥以 sk_ 开头。在整个工作流程、结果和 Webhook 路径中保持一个环境。

创建密钥需要相关权限。密钥在创建时显示一次；将它们直接存储在您批准的秘密管理器中。以后无法从密钥列表中检索它们。授权角色可以再次查看可发布的密钥。

限制密钥的使用位置

可发布密钥支持浏览器来源限制，秘密密钥支持 IP 范围限制。在将限制应用到实时集成之前，先在沙盒中测试限制。不正确的后端出口地址可能会停止结果读取。

浏览器来源限制是浏览器控件，不能替代在受信任的服务器上保存密钥。请勿将机密信息放入移动应用程序、公共存储库、屏幕截图、分析或支持消息中。

安全地更换钥匙

对于例行替换，请创建相同类型和环境的密钥，应用预期的限制，部署它并在撤销之前验证旧密钥不再使用。移动客户端可能需要时间才能迁移到新的可发布密钥。

如果机密可能被泄露，请立即撤销它并遵循您的事件流程。撤销是立即的且无法撤消。查看审核日志以了解密钥创建、限制更改和撤销，而不期望它包含凭证本身。

相关指南

• API密钥管理
• 认证