Chave de API
Código secreto que identifica um programa ou projeto quando ele usa um serviço on-line por meio de uma API; funciona como uma senha e não deve ser divulgado.
Se a API é o balcão onde um programa faz pedidos a outro, a chave de API é a comanda com o número da sua mesa. É um código, geralmente uma sequência comprida de letras e números, que o serviço usa para saber quem está pedindo.
A IBM define a chave de API como um identificador exclusivo usado para autenticar programas e sistemas que tentam acessar outros programas por meio de uma API. O Google Cloud acrescenta um detalhe que pesa no bolso: a chave associa cada pedido a um projeto, para fins de cobrança e de limite de uso.
E é aí que mora o perigo. Quem tiver a sua chave pode usar o serviço em seu nome, e a conta pode chegar para você. É como deixar o cartão da padaria pendurado na porta, com a senha anotada atrás.
Por isso, regras de bolso:
- Não publique. Nada de colar a chave em mensagem, em print, em fórum ou no código que vai para a internet. Quem cria aplicativos com vibe coding precisa ficar especialmente atento a isso.
- Restrinja. O Google Cloud permite limitar quais serviços cada chave pode usar.
- Troque de vez em quando. Segundo o Google Cloud, a rotação periódica das chaves limita o estrago se uma delas vazar: cria-se uma nova, atualizam-se os aplicativos e apaga-se a antiga.
A IBM lembra ainda que chaves de API não são tão seguras quanto outros métodos, como os tokens de autenticação, que podem identificar usuários específicos, ter permissões mais detalhadas e expirar. A chave ajuda, mas não substitui o resto da segurança.