O que é uma chave API e por que é necessário ter cuidado ao usá-la?

Question

As chaves API são códigos únicos para identificação de usuários e programas. Na essência, são passes digitais para o mundo de dados e funções alheias. Para ser honesto, a maioria das pessoas nem pensa em quão importante é a sua segurança até que seja tarde demais.

O que é, afinal, API?

Antes de falarmos sobre chaves, vamos entender o que é API. É um intermediário entre programas que permite que eles troquem informações. Por exemplo, através da API de plataformas de criptomoedas, é possível obter dados sobre preços, volumes de negociação e capitalização de mercado. Prático? Sim. Seguro? Aqui tudo depende de nós mesmos.

A chave API pode ser tanto um único código quanto um conjunto de vários códigos. Eles desempenham a mesma função que o login e a senha – autenticam o usuário. Quando queremos usar a API de alguém, é gerada uma chave que devemos enviar com cada solicitação.

É importante entender: esta chave é apenas sua. Ao passá-la a outra pessoa, você na verdade permite que ela se faça passar por você. Todas as suas ações serão consideradas como suas pelo sistema. Soa assustador, não é?

Tipos de chaves e assinaturas

Alguns APIs exigem assinaturas criptográficas para proteção adicional. Essas assinaturas podem ser simétricas (uma chave secreta para assinatura e verificação) e assimétricas (um par de chaves privada e pública).

As chaves simétricas funcionam mais rápido e requerem menos recursos computacionais. As chaves assimétricas são mais seguras, pois a chave privada nunca deixa o seu sistema.

Quão seguros são as chaves API?

Direi diretamente: a segurança da chave API é totalmente sua responsabilidade. É como a chave do seu apartamento – se você a perder ou a der a alguém, a culpa é sua. Hackers estão à caça de chaves API, especialmente aquelas relacionadas a finanças, porque através delas podem obter acesso aos seus fundos e dados.

Houve casos de ataques bem-sucedidos a bases de dados de código para roubo de chaves API. E como muitas chaves não têm data de validade, uma chave roubada pode ser utilizada por anos, a menos que você a revogue.

Como proteger as suas chaves API

Aqui estão algumas dicas que considero indispensáveis:

Altere regularmente as chaves. Apague as antigas, crie novas, como com as senhas.
Utilize uma lista branca de endereços IP. Mesmo que a chave seja roubada, não poderão ser usados a partir de um IP desconhecido.
Crie várias chaves com diferentes permissões. Não dê a uma única chave controle total sobre tudo.
Guarde as chaves apenas em locais seguros. Nenhum arquivo de texto na área de trabalho!
Nunca compartilhe suas chaves. É o mesmo que dar a senha do seu cartão bancário.

Se a sua chave foi comprometida, desligue-a imediatamente. Faça capturas de tela de todas as informações importantes e entre em contato com o suporte do serviço e com a polícia, se houve perdas financeiras.

A chave API é o acesso aos seus dados e fundos. Trate-a com o mesmo cuidado que as chaves de casa ou cartões bancários. Conheço casos de pessoas que perderam toda a sua fortuna em criptomoedas devido à negligência na segurança das chaves API. Não repita os erros deles.

Ver original