Token de API exposto: contenha o acesso e valide a rotação

Um token de API é uma credencial: quem o possui pode tentar executar as operações autorizadas por seu escopo. O impacto de uma exposição depende do serviço, das permissões concedidas, da validade e dos sistemas que usam a chave. Apagar o texto de um repositório ou de uma mensagem não invalida o token que já foi copiado.

Diagrama ilustrativo: localizar a credencial, conter o acesso, substituir e verificar.

Na suspeita de exposição, contenha primeiro

Identifique o serviço, a finalidade do token, quem é responsável por ele e quais aplicações o consomem. Se a credencial apareceu em repositório público, chamado, log, captura de tela ou arquivo compartilhado, trate-a como potencialmente exposta. A OWASP recomenda revogar rapidamente segredos expostos; a remoção do texto visível, por si só, não impede o uso de cópias anteriores.

Use o mecanismo de revogação do provedor e emita uma nova credencial com as permissões mínimas para a função necessária. Prefira tokens separados por integração e ambiente, quando o serviço permitir: assim, a troca de uma chave não exige substituir indiscriminadamente credenciais de sistemas que não tiveram exposição. Não mantenha uma credencial administrativa ampla para tarefas que precisam apenas de leitura ou de uma operação específica.

Troque sem perder o controle da aplicação

Armazene o novo token em um mecanismo de gestão de segredos com acesso restrito. Evite colocá-lo em código-fonte, JavaScript enviado ao navegador, mensagens, documentos gerais ou logs em texto puro. Atualize cada consumidor previsto, confirme que a função necessária voltou a operar e verifique se tentativas com a chave revogada são recusadas. Se o provedor oferecer registros de uso, revise o período da exposição em busca de chamadas fora do padrão ou de origens inesperadas.

Prepare a próxima rotação

Mantenha um inventário com responsável, finalidade, aplicações consumidoras, escopo, data de criação e forma de revogação. Defina como substituir a credencial e validar o serviço antes de uma emergência. A OWASP recomenda ciclo de vida documentado, privilégio mínimo, possibilidade de revogação e proteção para que segredos não apareçam em logs. Os recursos de expiração e rotação automática variam por provedor; use-os somente quando o serviço de destino os suportar.

Referência oficial: OWASP Secrets Management Cheat Sheet.