Skip to main content
As chaves de API autenticam as solicitações à API Pública do /v1. Cada chave pertence a uma conta de serviço e é criada a partir da página de detalhes dessa conta no Developer Hub. Use uma chave de API com escopo definido para uma integração de backend privada quando o armazenamento seguro e a rotação de um segredo atenderem aos seus requisitos. Não é necessário cliente OAuth nem troca de tokens. Consulte Autenticação se a sua organização exigir tokens de acesso OAuth de curta duração.

​
Anatomia de uma chave

  • Identificador — começa com ak_. Pode ser referenciado com segurança em tickets, logs e configurações; por si só, não concede nenhum acesso.
  • Segredo — começa com lsk_live_. Esta é a credencial que a sua integração apresenta. Ele é exibido uma única vez, na criação ou na rotação, e não pode ser recuperado posteriormente. A lista de chaves mostra apenas os quatro últimos caracteres (por exemplo, lsk_live_…xQc4) para que você possa associar uma linha à credencial que um chamador possui.
  • Permissões — um subconjunto das permissões da conta de serviço proprietária, escolhido na criação. Uma chave nunca pode fazer mais do que a sua conta permite.
  • Expiração — obrigatória. Toda chave tem uma data de expiração.
Armazene os segredos em um gerenciador de segredos assim que forem exibidos. Nunca os envie para o controle de versão, incorpore-os em código do lado do cliente nem os compartilhe em chats. Qualquer pessoa que possua o segredo pode agir com as permissões da chave.

​
Criar uma chave

Na página de detalhes da conta de serviço, crie uma chave seguindo quatro etapas: dê um nome a ela, escolha as permissões de que essa chave específica precisa, defina uma expiração — 30, 90 ou 365 dias, ou um período personalizado de até um ano — e revise. O segredo é exibido ao concluir, uma única vez. Limite cada chave ao menor conjunto de permissões de que o seu chamador precisa, mesmo quando a conta permitir mais. Se uma chave vazar, as permissões dela definem o alcance do dano.

​
Rotação sem tempo de inatividade

A rotação emite um novo segredo e inicia uma janela de sobreposição — de 1 hora, 24 horas ou 7 dias — durante a qual o segredo antigo continua funcionando. Isso permite que você distribua o novo segredo pelas suas implantações no seu próprio ritmo:
1

Faça a rotação da chave

Escolha uma janela de sobreposição que cubra o seu fluxo de implantação mais lento. O novo segredo é exibido uma única vez — armazene-o imediatamente.
2

Atualize suas Integrações

Substitua o segredo antigo em todos os locais em que ele está configurado. O status da chave aparece como em sobreposição até o fim da janela.
3

Verifique antes do fechamento da janela

Use os logs de solicitações para confirmar que o tráfego migrou para o novo segredo. Quando a sobreposição terminar, o segredo antigo deixará de autenticar.
Faça a rotação também antes da expiração: as chaves que se aproximam da data de expiração são sinalizadas como prestes a expirar na lista de chaves. Uma chave expirada deixa de autenticar — as solicitações feitas com ela retornam 401 com o código credential_expired.

​
Revogar imediatamente

A revogação tem efeito imediato e é permanente — não há janela de sobreposição nem como desfazer. Revogue uma chave assim que suspeitar de que o segredo dela foi exposto; faça a rotação quando estiver substituindo uma credencial íntegra. As solicitações feitas com uma chave revogada retornam 401 com o código credential_revoked. Se for necessário interromper de uma só vez todas as chaves de uma integração, desative a conta de serviço correspondente.