Conceitos

Segurança

Como guardar e usar uma chave com segurança, e o que fazer se ela vazar.

#Boas práticas

Uma chave por integração, com um nome que diga a quem pertence. Assim revoga só a que for preciso.
O perfil mínimo. Dê só as permissões de que a integração precisa. Uma integração que só lê não deve poder escrever.
Prenda ao estabelecimento e aos endereços quando for possível: limita o estrago se a chave for mal usada.
Guarde o segredo num gestor de segredos (variáveis de ambiente do servidor, cofre). Nunca em código, em repositórios, em páginas de internet ou em aplicações de telemóvel.
Use HTTPS sempre. Nunca envie a chave por HTTP simples: iria em claro pela rede.
Defina uma validade e rode a chave com regularidade (ver Autenticação).
Registe o traceId de cada resposta de erro: é o que nos permite encontrar um pedido.
Trate os dados pessoais dos seus clientes com o cuidado que a lei de protecção de dados exige: só leia o que precisa e não os replique sem necessidade.

1
Revogue-a de imediato
Em Definições › Chaves de API › Revogar. Tem efeito no pedido seguinte.
2
Crie outra
E configure-a nos sistemas legítimos.
3
Reveja o uso
A coluna «Último uso» mostra quando foi usada. Os documentos emitidos pela chave levam o chaveApiId: filtre-os para ver o que ela fez.
4
Corrija o que for preciso
Um documento emitido por engano corrige-se com uma nota de crédito; um cliente criado a mais elimina-se.

Guarda apenas uma impressão do segredo (nunca o segredo): nem a equipa o consegue ler.
Isola cada empresa na base de dados: uma chave nunca vê dados de outra, mesmo que o pedido o tente.
Regista o último uso de cada chave e, em cada documento, a chave que o emitiu.
Limita os pedidos por chave e por empresa, e a lista de operações que uma chave alcança.
Pára uma chave cujo titular deixou a empresa.