As suas chaves de API são a porta de entrada para a sua conta Cathopic. Mantê-las seguras evita acessos não autorizados e protege contra fraude de faturação.
A regra de ouro: mantenha as chaves em segredo
Trate as suas chaves de API como palavras-passe. Erros comuns a evitar:
Codificar as chaves diretamente no código-fonte
Fazer commit das chaves no Git ou noutro sistema de controlo de versões
Usar chaves em JavaScript do lado do cliente ou em aplicações móveis
Partilhar chaves por e-mail, Slack ou aplicações de mensagens
Guardar chaves em locais públicos (repositórios públicos, wikis, etc.)
Use variáveis de ambiente
Guarde as chaves em variáveis de ambiente em vez de as colocar no código:
// ficheiro .env (adicione ao .gitignore!)
CATHOPIC_API_KEY=sk_live_abc123xyz789...
// O seu código
require('dotenv').config();
const apiKey = process.env.CATHOPIC_API_KEY;Isto separa os dados sensíveis da sua base de código e facilita a rotação das chaves.
Apenas do lado do servidor
As chamadas à API devem ser feitas a partir dos seus servidores de backend, não de navegadores nem de aplicações móveis. Se os utilizadores precisarem de acesso aos recursos da Cathopic:
Crie um endpoint de backend que use a sua chave de API
O seu frontend chama O SEU endpoint, não a Cathopic diretamente
O seu servidor valida o pedido do utilizador antes de chamar a Cathopic
Restringir por IP (se possível)
Algumas infraestruturas permitem whitelisting de IPs. Se as suas chamadas à API vierem de IPs conhecidos:
Configure regras de firewall para limitar o acesso de saída
Use contas de serviço dedicadas com permissões mínimas
Monitorize os registos de acesso para detetar atividade invulgar
Se uma chave for comprometida
Se suspeitar que uma chave foi exposta:
Gere imediatamente uma nova chave de API
Atualize a sua aplicação com a nova chave
Elimine a chave comprometida
Revise os registos de utilização em busca de atividade suspeita
Contacte o suporte se vir cobranças não autorizadas
Gira as suas chaves em segurança em Definições → API.
