Todo lo que vale la pena saber, nada que no lo sea.
Rotación sin tiempo de inactividad
Genera una nueva clave en el panel de control (Claves API → Generar) mientras la clave actual siga activa. Implementa la nueva clave en tus aplicaciones y confirma que el tráfico fluye a través de ella; luego, revoca la clave anterior. Dado que ambas claves son válidas durante el período de solapamiento, no hay interrupción del servicio: este es el patrón de rotación estándar sin tiempo de inactividad.
Revocar una clave
La revocación de una clave en el panel de control surte efecto de inmediato: cualquier solicitud que presente la clave revocada será rechazada. Dado que BroadNet nunca registra las claves sin procesar, una clave revocada no deja rastro que pueda filtrarse. Revoque la clave inmediatamente si existe la posibilidad de que se haya incluido en el control de versiones, se haya copiado en un ticket o se haya expuesto de alguna otra manera.
Trate las credenciales de prueba como secretos de producción
Las credenciales de prueba funcionan contra el endpoint de producción, https://api.broadnet.me, así que protéjalas como cualquier secreto de producción desde el primer día: mantenga el token en una variable de entorno o en un gestor de secretos, nunca en el control de versiones, en código del lado del cliente o en archivos de prueba compartidos, y rótelo si sospecha que ha sido expuesto. Consulte /answers/what-is-sandbox-vs-production.
Cuándo rotar
Rote las claves según un calendario fijo (trimestral es lo habitual) para que ninguna permanezca indefinidamente, y rote inmediatamente ante cualquier sospecha de exposición o cuando alguien con acceso a una clave abandone el equipo. La rotación programada limita el alcance de una clave comprometida sin que se supiera.
Las claves son revocables
Las claves API son revocables en cualquier momento, lo que hace que la rotación rutinaria sea segura y económica. Combine la rotación con el uso de claves bajo el principio de privilegio mínimo para que cada aplicación solo posea las credenciales que realmente necesita. Consulte /developers/authentication.