Keys landen in Repositories, in geteilten Dokumenten und in Aufgaben für Agenten, die jemand anderes lesen kann. Wenn das passiert, zählt Tempo mehr als Ursachenforschung.
- Widerrufe den Key sofort. Profil, dann API-Schlüssel, widerrufen. Das gilt sofort, und die nächste Anfrage damit scheitert mit 401.
- Erstelle einen Ersatz und kopier ihn direkt in deinen Passwort- oder Secret-Speicher. Keys werden nur einmal angezeigt, der Erstellungsbildschirm ist also deine einzige Chance.
- Aktualisiere die eine Stelle, die ihn genutzt hat. Genau deshalb lohnt sich die Disziplin von einem Key pro Agent oder Integration: Mit getrennten Keys legt ein Widerruf genau eine Sache lahm.
- Prüfe Guthaben und Ausgaben unter Profil, dann Abrechnung. Jede Ausgabe wird protokolliert, ein unerklärter Rückgang ist also sichtbar.
Zwei eingebaute Schutzmechanismen begrenzen den Schaden in der Zwischenzeit. Ausgaben werden auf dem Server gegen dein Guthaben geprüft, ein öffentlich gewordener Key kann also nie mehr ausgeben, als du hast. Und Scopes sind getrennt: Ein Key ohne Scopes zum Ausgeben kann Zählungen und Vorschauen lesen, die ohnehin kostenlos sind, und sonst nichts.
Wenn du unsicher bist, ob jemand anderes einen Key genutzt hat, schreib an support@argorant.com mit dem Namen des Keys, nicht dem Key selbst, und ungefähr dem Zeitpunkt, zu dem er öffentlich wurde.
Vorbeugung, die wirklich funktioniert: Keys nur zum Lesen überall dort, wo nichts ausgegeben werden muss, und ein eigener Key pro Umgebung statt eines gemeinsamen für Entwicklung und Produktion.