Confira as permissões da chave antes de enviar
Antes de enviar uma API key a um freelancer ou colega, confira o que ele poderá fazer com ela. Uma chave pode liberar a leitura de dados, permitir alterações ou gerar cobranças na sua conta.
Para enviar API key com segurança, prefira criar um acesso próprio para quem vai trabalhar. Se a tarefa é testar uma integração, use o ambiente de testes e as menores permissões necessárias. Evite entregar uma chave administrativa para resolver uma tarefa limitada.
O GitHub orienta a não compartilhar tokens pessoais e recomenda sistemas seguros de compartilhamento para credenciais de equipe. Siga também as regras do provedor da API que você está usando.
Por que evitar chaves no Slack, no e-mail ou no código?
Colar a chave em uma conversa facilita o envio, mas pode espalhar cópias em históricos, encaminhamentos e dispositivos. Inserir o segredo em um arquivo de código acrescenta o risco de ele entrar no repositório e continuar no histórico mesmo após uma alteração posterior.
Use o cofre de segredos da equipe para guardar as chaves e controlar quem pode consultá-las. Para uma entrega pontual, como uma chave de testes com permissões restritas, você pode usar uma mensagem temporária se a equipe permitir. No 00h, qualquer pessoa com o link completo consegue ler o texto, e você não recebe um registro de quem o abriu.
Guarde chaves de produção em um cofre. Para acessos a dados de clientes, cobranças ou administração de contas, use um gerenciador de segredos com autenticação e permissões por pessoa.
Como compartilhar um código temporário pelo 00h
- Confirme que a credencial pode ser compartilhada e que a pessoa está autorizada a recebê-la. Quando possível, crie uma chave restrita ao projeto e ao ambiente de testes.
- Abra Criar conteúdo no 00h. Use essa opção para criptografar a chave. O modo Criar link guarda o endereço de destino sem criptografá-lo; não coloque senhas ou tokens nessa URL.
- Escreva somente o necessário para a entrega. Título e conteúdo são criptografados no navegador antes de serem enviados ao 00h.
- Em Escolher data, marque um horário próximo e suficiente para o destinatário abrir a mensagem. Você também pode escolher um dos prazos rápidos.
- Clique em Criar conteúdo temporário e envie o link completo por um canal privado combinado. O fragmento depois de # contém a chave de leitura.
- Revogue a chave no painel do provedor quando a tarefa terminar. Se a integração continuar usando a chave, guarde-a no cofre da equipe.
Quem tem o link completo pode abrir e copiar o conteúdo até o vencimento. Ele não funciona como mensagem de leitura única. Se você escolheu meia-noite, o acesso termina na próxima virada do dia em Brasília; o padrão Fim de amanhã dura mais.
Defina a validade e revogue a chave depois do uso
A OWASP recomenda limitar permissões e acesso aos segredos, prever rotação e permitir revogação. Configure a validade da chave no provedor, retire permissões que a tarefa não usa e combine quem será responsável por revogá-la.
Se a mensagem do 00h vencer hoje, a chave ainda poderá funcionar no serviço. Para interromper seu uso, defina também a validade no provedor ou revogue a credencial pelo painel dele.
Se uma credencial foi enviada à pessoa errada ou apareceu em um repositório, trate-a como exposta. Revogue no provedor, gere a substituta e atualize as integrações afetadas. Antes de encerrar uma chave em uso, identifique os serviços que dependem dela para coordenar a troca.
Em caso de suspeita de vazamento, consulte os registros de uso da API para identificar acessos indevidos. Evite gravar o valor da chave em logs ou mensagens de erro. Para senhas de contas, veja o guia de compartilhamento de senhas.
Perguntas frequentes
Um link autodestrutivo revoga a API key?
Não. A expiração da mensagem e a validade da chave são controles separados. Defina a validade e revogue a credencial no serviço que a emitiu. No 00h, o conteúdo pode ser lido até o prazo, não apenas uma vez.
É possível enviar um token sem deixar nenhum rastro?
Não. Quem recebe pode copiar o token, e o endereço da mensagem pode continuar no histórico da conversa. Para impedir o uso de uma chave exposta, revogue-a no provedor. Expirar o link não resolve esse vazamento.
Posso mandar uma chave de produção pelo 00h?
Para chaves de produção ou com permissões amplas, use o gerenciador de segredos da equipe. Dê acesso a cada pessoa com login próprio e siga as regras do provedor para contas de serviço.
O que fazer se colei a chave no chat errado?
Considere a credencial exposta. Revogue-a no provedor, emita outra com as permissões necessárias e atualize as integrações afetadas. Revise os registros de uso. Apagar a mensagem ou esperar o link vencer não substitui a revogação.
Crie um link com o prazo que você precisa.
Você pode usar o 00h de graça, sem cadastro. Confira a validade antes de enviar.
Criar mensagem com prazo Entenda como funciona o 00h