Chiave API

Quando un programma parla con un servizio invece di una persona che clicca su un sito, di solito dimostra chi è con una chiave API: una lunga sequenza di caratteri che ricevete dal fornitore e inserite nel codice o nella configurazione. Ogni richiesta che porta quella chiave vale come vostra, quindi viene anche addebitata sul vostro account. In pratica è una password che non scade finché non la ritirate voi.

Per questo le chiavi trapelate sono una fonte così affidabile di guai. Finiscono in repository di codice pubblici, screenshot e frammenti incollati, e qualcun altro vi fa lievitare la fattura o raggiunge i vostri dati. Due abitudini coprono quasi tutto il rischio: non mettere mai le chiavi direttamente nel codice che viene versionato e, se una chiave è stata esposta, revocarla invece di limitarsi a cancellare il file, perché la cronologia conserva la vecchia copia.