Uma chave de API é uma senha que não expira e que ninguém monitora. Trate-a como tal.
Conceda apenas o necessário
Crie uma chave por integração, com apenas as permissões que essa integração utiliza. Um script de implantação não precisa de acesso a faturamento, e uma ferramenta de monitoramento não precisa excluir sites. Quando algo dá errado, uma chave com escopo restrito limita o impacto do problema.
Mantenha-a fora do seu código
Nunca envie uma chave para um repositório — seja ele público ou privado. Repositórios sofrem forks, são clonados, passam por backup e são compartilhados indevidamente, e ferramentas de varredura encontram chaves neles minutos após um push. Utilize uma variável de ambiente ou o cofre de segredos do seu provedor de CI.
Faça a rotação em vez de se preocupar
Se uma chave foi colada em um chat, ticket, captura de tela ou log, substitua-a. Crie a nova chave, alterne a integração e, em seguida, exclua a antiga — exatamente nessa ordem, para que nada seja interrompido no processo. Isso leva um minuto e elimina totalmente a dúvida.
Monitore o que elas fazem
Cada chamada realizada por uma chave é exibida em Atividade, juntamente com o nome da chave. Se uma chave que o senhor acreditava estar desativada ainda estiver fazendo chamadas, isso indica algo importante que vale a pena saber.
Exclusão
A exclusão de uma chave tem efeito imediato. Qualquer serviço que a utilize começará a receber o erro 401, e esse é exatamente o objetivo.