Chaves de API: gerar, limitar o alcance e revogar
Uma chave de API é a senha que um sistema usa para falar com a plataforma sozinho — o seu site, um aplicativo interno, uma automação. Ela fica vinculada a quem a criou e nunca faz mais do que essa pessoa pode fazer: se o acesso dela mudar, o da chave acompanha.
Gerar uma chave
Vá em Administração › Integrações › API, aba Chaves de API, e clique em Nova chave. A criação abre em tela própria, em três etapas.
- Identificação — o nome (quem vai usar a chave: o site, um app interno, uma automação) e a validade: 30, 60 ou 90 dias, 6 meses, 1 ano, ou nunca expira. A tela mostra a data exata em que ela para de funcionar.
- Permissões — escolha um dos três cartões: Acesso total, Somente leitura ou Personalizado. No personalizado, as permissões vêm agrupadas pelos tópicos do menu, com busca e um ícone dizendo se aquilo só consulta ou altera dados.
- Revisão — nome, validade e o que a chave pode fazer, lado a lado, antes de gerar.
Copie a chave na hora. Ela aparece uma única vez, logo depois de gerada, com um exemplo pronto para colar no terminal. Se perder, não há como vê-la de novo: gere outra e revogue a antiga.
Escolher a validade e o alcance
- 90 dias é o recomendado. Chave que expira obriga a troca periódica, e troca periódica é o que limita o estrago de um vazamento.
- Nunca expira só quando não houver como trocar a chave depois.
- Se a integração só consulta, escolha Somente leitura. Acesso total também apaga dados.
- Quanto menos a chave puder, menor o problema se ela vazar.
Revogar
A lista de chaves fica na mesma tela de API. Revogar derruba o acesso na hora, sem afetar o seu usuário. Faça isso sempre que uma integração for desativada ou houver qualquer suspeita sobre a chave.