Cos'è una API key, come si distingue da una password o da un token OAuth, dove conservarla, come limitarla e ruotarla, e cosa fare appena una viene esposta.
Una API key è una lunga stringa segreta che un programma invia con ogni richiesta per dimostrare quale account sta chiamando un servizio, come un provider di pagamenti, mappe o email. Tratta la maggior parte delle chiavi come una password: tienile su un server, mai nel codice del sito, limita cosa possono fare e sostituiscile se vengono esposte.
API key, token di accesso OAuth e password a confronto
Se gestisci un sito web o un negozio, incontri le API key ogni volta che colleghi un servizio: pagamenti, mappe, email, uno strumento per moduli o un agente AI. La maggior parte sono segrete, alcune sono pensate per essere pubbliche, e confonderle è il modo in cui nascono bollette salate e fughe di dati. Incolla una chiave nell'analizzatore qui sotto per vedere di che tipo sembra; funziona interamente nel tuo browser e non invia nulla da nessuna parte.
Sono entrambe segrete, ma una password serve a una persona per accedere mentre una API key serve a un software per chiamare un servizio. Le chiavi sono lunghe e casuali, di solito limitate a certe azioni, e si possono sostituire senza cambiare il login di nessuno.
Solo se il provider dice che quel tipo di chiave si può esporre. Le chiavi pubblicabili di Stripe che iniziano con pk_ sono pensate per il codice front-end; le sue chiavi segrete e con restrizioni no. Tutto ciò che sta nel browser può essere letto da ogni visitatore.
In un vault per i secret o nelle impostazioni delle variabili d'ambiente del tuo hosting. Sia Stripe sia Google dicono di non mettere le chiavi nel codice sorgente né di committarle nei repository di codice.
Revocala o ruotala subito nella dashboard del provider, poi metti la nuova chiave nelle impostazioni del tuo server. L'indicazione di GitHub sui secret rilevati è di ruotare immediatamente la credenziale coinvolta; ripulire solo la cronologia non rende sicura una chiave ancora attiva.
Usa una API key quando il tuo server comunica con un servizio sul tuo account. Usa OAuth quando la tua app deve agire per conto di altre persone sui loro account, perché in quel caso ognuna concede l'accesso e può revocarlo da sola.
La chiave vive in una variabile d'ambiente sul server. Il browser chiama il tuo endpoint, che aggiunge la chiave e chiama il provider.
Solo valori segnaposto. Aggiungi .env a .gitignore così non arriva mai nel tuo repository.
Una piccola route server. Il secret viene letto sul server e non viene mai inviato al browser.
Incolla una chiave o solo i suoi primi caratteri. Il controllo avviene solo nel tuo browser; meglio comunque usare una chiave di test o un valore fittizio invece di un secret live.
Chiave da analizzare
Chiave pubblicabile Stripe
Chiave segreta Stripe
Chiave Stripe con restrizioni
Token Notion
Secret di firma del webhook (prefisso whsec_)
Nessun prefisso noto. Trattala come segreta a meno che il provider non dica altrimenti.
Pensata per il codice front-end, secondo il provider.
Segreta: tienila su un server, mai in una pagina web.
Chiave in modalità test o sandbox.
Chiave in modalità live: soldi veri o dati reali.
Lunghezza: {n} caratteri
Casualità approssimativa se generata in modo casuale: {n} bit
Sembra corta per un secret. Circa {n} bit o più è un obiettivo approssimativo ragionevole.
Incolla qualcosa da analizzare.
Inizia gratis · Nessuna carta di credito richiesta