Uma chave de API que pode tudo é uma chave que não se pode confiar

Escolhe as permissões ao criar, do mesmo catálogo dos perfis. Uma chave feita para enviar contactos do seu site não pode ler as suas faturas, e a recusa vem da gateway, não de uma convenção de código. É o modelo das chaves restritas da Stripe ou dos tokens de granularidade fina do GitHub.

• Permissões escolhidas do catálogo RBAC
• Verificação em cada chamada, na gateway
• Chave secreta ou chave pública, conforme o uso
• Etiqueta e nota, para saber para que serve

Uma chave pode ter uma data de fim. E mesmo sem data, aplica-se uma janela de inatividade de noventa dias: uma chave que já não se usa deixa de funcionar por si. É a fuga mais banal — uma chave posta num script numa terça-feira e esquecida durante três anos.

• Data de validade explícita, à escolha
• Janela de inatividade de 90 dias, para além disso
• Data da última utilização apresentada
• Revogação imediata, com o autor da revogação

A chave em claro só existe no momento em que a cria: depois guarda-se apenas a sua impressão digital, e nada permite relê-la — nem a interface, nem o apoio, nem o registo de auditoria, que regista o evento sem nunca levar o valor. Se se perder, cria-se outra e revoga-se a anterior.

• Valor mostrado uma só vez, nunca guardado em claro
• Registo de auditoria sem segredo nem impressão digital
• Alerta por e-mail num IP nunca visto
• Criação e revogação atribuídas ao seu autor