Resposta direta
Chave de API sem expiração se sustenta por controle compensatório, não por confiança no segredo. Três medidas fazem o trabalho: responsável nomeado para cada chave, escopo mínimo por função e rotação disparada por evento, como saída de pessoa ou troca de fornecedor. O prazo de validade vira política de substituição, não de calendário automático. A revogação precisa ser testável e rápida. Se nada disso existir, a chave indefinida é apenas uma credencial sem prazo e sem responsável.
- Objetivo
- Orientar implementação
- Formato indicado
- Workshop executivo
- Atualizado em
O que esta página acrescenta: Trata a chave sem expiração como caso próprio, compensando a ausência de prazo com posse, escopo e gatilho de evento, em vez de reduzir o tema a proteger segredo.
Por que a ausência de expiração muda o desenho
Quando uma chave expira, o prazo age como controle automático: o acesso termina sem depender de decisão de alguém. Sem data de término, esse mecanismo desaparece e precisa ser substituído por decisões explícitas.
O substituto combina posse, escopo e evento. Posse define quem responde pela chave. Escopo limita o que ela pode fazer. Evento determina quando ela deve ser trocada. Os três precisam estar registrados onde a operação consulta, não apenas na cabeça de quem emitiu.
Rotação por evento e revogação que se comprova
A rotação por evento usa gatilhos verificáveis: saída do responsável, troca de fornecedor, mudança de escopo, suspeita de uso indevido. Cada gatilho é anotado com data e responsável, o que permite conferir depois se a troca ocorreu.
A revogação precisa ser exercitada, não presumida. Um teste controlado mostra se a chave antiga deixa de funcionar e em quanto tempo. O que se mede é o intervalo entre desativar e o acesso cessar, não a intenção de desativar.
O que esse desenho não resolve
O controle compensatório não detecta uso indevido em tempo real. Uma chave válida e bem escopada ainda pode ser usada para finalidade errada. Isso depende de monitoramento de comportamento e revisão de dados, que ficam fora deste desenho.
Ele também não corrige escopo excessivo nem inventário incompleto. Se a organização não sabe quantas chaves existem, nenhum gatilho de rotação alcança as esquecidas. A disciplina de inventário é pré-requisito, não consequência.
Recurso prático
Controle compensatório por situação da chave
| Situação da chave | Controle que substitui o prazo |
|---|---|
| Uso restrito a um sistema | Escopo mínimo e responsável nomeado |
| Compartilhada entre fluxos | Inventário, dono único e revisão por evento |
| Emitida para terceiro | Gatilho ligado ao contrato e revogação testada |
O erro mais comum é definir a rotação e nunca exercitar a revogação. A chave antiga continua aceita e o controle existe apenas no documento.
Sobre o que está escrito aqui
Conceitos relacionados: chave de API de longa duração · rotação de credencial · revogação testável · inventário de chaves · escopo mínimo. Exemplos são ilustrativos. Não há cliente, resultado, preço, prazo ou certificação nesta página. Quando o formato indicado é Workshop executivo, ele descreve uma possibilidade de trabalho — a conversa inicial avalia contexto e aderência.
Para continuar
- Governança e controle de automação — Página central do tema
- Disparos sem aprovação: como mapear onde o fl… — ações sem aprovação
- Execução sem aval prévio: modelos e critérios… — ações sem aprovação
Páginas relacionadas
O mesmo problema em outro objetivo
- Chave de API sem validade: como separar risco de rotina — Diagnosticar
- Chave de API sem validade: como criar prazo e revisão — Organizar um processo
- Chave de API sem prazo de validade: o que comparar — Comparar alternativas
- Chave de API sem validade: como medir o risco — Explicar medição
- Chave de API sem validade: o que exigir no contrato — Orientar avaliação e contratação
Outras leituras em Governança e controle de automação
- Segredo em texto no fluxo: onde ele aparece e quem responde — Onde senhas, tokens e chaves ficam em texto no fluxo, quem responde por cada ponto e como o processo de guarda, troca e revogação se sustenta.
- Credencial sem rotação: o que medir para saber o risco — Medição de credenciais sem rotação periódica: quais dados levantar, como priorizar a troca e o que a medição não resolve.
- Segredo em texto no fluxo: como medir a exposição — Medição de segredos em texto no fluxo de automação: o que contar, como pesar janela de exposição e alcance de leitura, e o que a métrica não cobre.
- Credencial compartilhada: como implementar o controle — O que definir quando a credencial de automação passa por várias pessoas: dono, forma de uso, registro e gatilho de troca.
- Credencial sem rotação: o que comparar antes de decidir — Compara alternativas de controle quando a credencial não pode ser trocada com frequência: o que cada opção reduz, o que fica em aberto e o critério de decisão.