Sicurezza e configurazione

I principi fondamentali per proteggere le chiavi API sono non esporle, usare i privilegi minimi, ruotarle regolarmente e mantenere tracciabile l’utilizzo.

Come gestire e proteggere le chiavi API?

Pratiche consigliate:

• Non inserire chiavi API in repository pubblici, pagine frontend, pacchetti mobili o screenshot.
• Leggi le chiavi sul server da variabili d’ambiente o da un gestore di segreti.
• Crea chiavi distinte per sviluppo, test e produzione.
• Crea chiavi separate per servizi o applicazioni differenti per migliorare tracciabilità e isolamento.
• Configura i permessi dei modelli secondo necessità e imposta scadenze quando opportuno.
• Ruota regolarmente le chiavi; fallo subito dopo cambi di personale, chiusura di servizi o sospetta divulgazione.

Se una chiave potrebbe essere stata divulgata:

1. Disabilita, elimina o ruota immediatamente la vecchia chiave.
2. Crea una nuova chiave e aggiorna tutti i servizi dipendenti.
3. Controlla utilizzo recente, variazioni del saldo e spese anomale.
4. Restringi i permessi dei modelli e valuta una scadenza più breve.
5. Esamina il percorso di divulgazione, come repository, log, configurazione CI o client di terzi.

La divulgazione può causare chiamate non autorizzate e perdite economiche. Proteggi anche le chiavi di test come segreti di produzione.

Posso rivedere la chiave API completa dopo la creazione?

No. La chiave completa viene mostrata solo nel flusso di creazione riuscita. In seguito la console visualizza soltanto un’anteprima mascherata.

Prima di chiudere la finestra, salva la chiave in una variabile d’ambiente lato server o in un gestore di segreti. Una chiave persa non è recuperabile tramite API utente o amministrative. Creane una sostitutiva, aggiorna il chiamante e poi elimina la vecchia. Il modello di integrazione AI della documentazione usa il segnaposto <API_KEY> e non carica chiavi precedenti.

Come inviare una chiave API?

Invia le chiavi solo negli header della richiesta. Consigliamo:

Authorization: Bearer YOUR_API_KEY

Puoi anche usare:

X-API-Key: YOUR_API_KEY

Non inserire mai credenziali API di RequestBeam nella query dell’URL. I nomi tipici di credenziali (apiKey, api_key, apikey, x-api-key e key) normalmente causano HTTP 400. Le limitate eccezioni per parametri applicativi Similarweb valgono solo per richieste GET: /v1/similarweb/websites/backlinks accetta un hostname nel campo maiuscolo Key; /v1/similarweb/websites/outgoing-traffic, /websites/incoming-referrals e /websites/similar-sites/suggestions accettano un hostname nel campo minuscolo key (tutti sotto /v1/similarweb). Questi campi identificano un sito di destinazione, non una credenziale API. Gli hostname devono essere validi. Duplicati, maiuscole errate, valori simili a credenziali e campi aggiuntivi di credenziali restano bloccati. Autenticati sempre con un header della richiesta, anche sulle rotte Similarweb. Consulta l’esempio di richiesta Similarweb.

La regola non riguarda altri parametri applicativi come OAuth token, apiKeyId, username o pagination_token.