Chaves de API
Autenticação entre sistemas, com geração, armazenamento, escopo e rotação das chaves.
Uma chave de API é um segredo longo que um sistema envia a cada pedido para se identificar, no lugar de usuário e senha. É a forma mais comum de autenticar integrações entre sistemas.
Chaves vazam em repositórios, logs e mensagens, e uma chave vazada vale até ser revogada. O desenho da chave decide o tamanho do estrago.
- A chave é aleatória, longa e mostrada ao cliente uma única vez.
- O servidor guarda só o hash, e um hash rápido basta.
- Um prefixo como
loja_live_permite detectar a chave quando ela vaza. - Cada chave tem escopos, validade e pode ser revogada sozinha.
- A chave vai num cabeçalho, nunca na URL.