Proteja suas chaves de API e prepare uma rotina de revogação

Faça um inventário sem copiar as chaves

Crie uma lista com provedor, projeto, ambiente, responsável e onde a credencial é usada. Identifique a chave pelo nome ou pelos últimos caracteres exibidos no painel. Mantenha o valor completo fora da planilha.

Inclua automações, hospedagem e ferramentas de terceiros. Uma chave esquecida num teste continua precisando de acompanhamento enquanto estiver ativa.

Separe acesso por projeto e ambiente

Use os projetos, workspaces ou contas de serviço oferecidos pelo provedor. Defina permissões mínimas e uma credencial de teste separada da produção. Quando houver suporte, configure vencimento e rotação.

Guarde o segredo no gerenciador da hospedagem ou em variável de ambiente do servidor. Nunca coloque a chave no JavaScript entregue ao navegador, em repositório ou em print de tutorial.

Confira como o controle de gasto funciona

Abra Billing, Usage ou Limits no painel oficial. Registre o limite e os alertas disponíveis. Na API da Anthropic há controles de gasto documentados; em outros provedores, um orçamento pode ser apenas um aviso.

Leia o comportamento exato antes de confiar que as chamadas vão parar. Adicione também limite de requisições e autenticação no seu aplicativo quando ele expõe uma função paga ao público.

Prepare a troca antes de uma emergência

Escreva quais serviços precisam receber uma nova credencial e quem pode reiniciá-los. Numa rotação planejada, crie a substituta, atualize os serviços, confirme o funcionamento e revogue a antiga.

Se houver suspeita de exposição, revogue a chave afetada imediatamente e investigue os registros de uso. Apagar a mensagem ou o commit onde ela apareceu não invalida a credencial.

Revogue no painel do provedor e registre a confirmação

OpenAI: abra o link “Painel de chaves OpenAI” deste guia, selecione a organização/projeto correto, identifique a chave pelo nome e use o ícone de lixeira ao lado dela. Confirme a exclusão; essa chave deixa de poder autenticar chamadas.

Anthropic: abra o link “Painel de chaves Claude”, selecione o workspace correto, encontre a chave, abra o menu de três pontos e escolha “Delete API key”, confirmando a ação. A documentação de workspaces também descreve a opção “Disable API key” quando disponível.

Registre o horário e o status exibido, sem copiar o segredo. Se sua equipe já tem um teste controlado de autenticação, confira que a chave revogada recebe rejeição, como HTTP 401, e que a substituta funciona. Não imprima cabeçalhos nem a chave no terminal, em logs ou prints. Não recupere uma chave vazada só para testar: a confirmação do painel e os registros de uso são a evidência inicial adequada.

Use este registro de incidente

Anote horário, provedor, projeto e impacto sem guardar o segredo em texto. Revise cobranças desconhecidas pelo canal oficial do provedor. Não prometa reembolso, pois isso depende da análise de cada serviço.

Chave identificada por nome/sufixo:
Exposição percebida em:
Revogada em:
Serviços atualizados:
Teste de funcionamento:
Uso desconhecido encontrado:
Suporte acionado e protocolo:
Causa corrigida:
Próxima revisão:

Verifique o código e os acessos periodicamente

Ative a detecção de segredos disponível no seu repositório e confira os alertas. Revise colaboradores, integrações e credenciais que não são mais necessárias.

Faça um teste de recuperação num projeto sem dados reais. O resultado esperado é saber onde trocar a chave e confirmar que o aplicativo continua funcionando com a nova credencial.