Segurança e configuração

Os princípios para proteger chaves API são não expô-las, usar o menor privilégio, rotacioná-las regularmente e manter o uso rastreável.

Como gerenciar e proteger chaves API?

Práticas recomendadas:

• Não coloque chaves em repositórios públicos, páginas frontend, pacotes móveis ou capturas de tela.
• Leia as chaves de variáveis de ambiente ou de um gerenciador de segredos no servidor.
• Crie chaves separadas para desenvolvimento, testes e produção.
• Crie chaves distintas para serviços ou aplicações diferentes, melhorando rastreabilidade e isolamento.
• Configure permissões de modelos conforme necessário e datas de expiração quando apropriado.
• Rotacione chaves regularmente; faça isso imediatamente após mudanças de pessoal, encerramento de serviço ou suspeita de vazamento.

Se uma chave pode ter vazado:

1. Desative, exclua ou rotacione a chave antiga imediatamente.
2. Crie uma chave nova e atualize todos os serviços dependentes.
3. Revise uso recente, mudanças de saldo e gastos anormais.
4. Restrinja permissões de modelos e considere uma expiração mais curta.
5. Investigue o caminho do vazamento, como repositórios, logs, configuração de CI ou clientes de terceiros.

Vazamentos podem causar chamadas não autorizadas e perdas financeiras. Mesmo chaves de teste devem ser protegidas como segredos de produção.

Posso ver novamente a chave API completa após criá-la?

Não. A chave completa é exibida somente no fluxo de criação bem-sucedida. Depois, o console mostra apenas uma prévia mascarada.

Antes de fechar o diálogo, guarde a chave em uma variável de ambiente do servidor ou gerenciador de segredos. Uma chave perdida não pode ser recuperada por APIs de usuário ou administrador. Crie uma substituta, atualize quem a utiliza e exclua a antiga. O modelo de integração com IA da documentação usa o marcador <API_KEY> e não carrega chaves históricas.

Como enviar uma chave API?

Envie chaves apenas nos cabeçalhos da solicitação. Recomendamos:

Authorization: Bearer YOUR_API_KEY

Você também pode usar:

X-API-Key: YOUR_API_KEY

Nunca coloque credenciais API do RequestBeam na query da URL. Nomes associados a credenciais (apiKey, api_key, apikey, x-api-key e key) normalmente causam HTTP 400. As exceções restritas para parâmetros de negócio do Similarweb valem apenas para GET: /v1/similarweb/websites/backlinks aceita um hostname no campo com maiúscula Key; /v1/similarweb/websites/outgoing-traffic, /websites/incoming-referrals e /websites/similar-sites/suggestions aceitam um hostname no campo minúsculo key (todos sob /v1/similarweb). Esses campos identificam o site de destino, não uma credencial API. Os hostnames devem ser válidos. Duplicatas, capitalização errada, valores semelhantes a credenciais e campos extras de credenciais continuam bloqueados. Sempre autentique por um cabeçalho da solicitação, inclusive nas rotas Similarweb. Consulte o exemplo de solicitação Similarweb.

A regra não afeta outros parâmetros de negócio, como OAuth token, apiKeyId, username ou pagination_token.