Come condividere una chiave API in modo sicuro
Senza esporre i tuoi segreti
Le chiavi API non devono finire in Slack, Teams, e-mail, ticket o cronologia Git. Scopri un flusso più sicuro: limita la chiave, cifrala localmente, usa un link monouso e ruotala quando la consegna è finita.
Punti chiave
- Non incollare mai chiavi API in email, chat, ticket, documenti o Git.
- Chiave più ristretta: least privilege, vita breve, poi rotazione.
- Invia i segreti con un link monouso cifrato nel browser.
- Per chiavi ad alto rischio, cifra prima in locale; condividi solo il ciphertext.
- Controlla usi insoliti—PrivateNote è consegna, non un vault.
In questa pagina
Prima o poi ogni sviluppatore deve inviare una chiave API a qualcun altro: per l’accesso a staging, un contractor, un’integrazione webhook o un passaggio di consegne a un cliente. Il percorso più veloce è spesso anche quello che lascia la traccia più lunga.
Tratta le chiavi API come password di produzione
Una chiave API è di fatto una password per software. A seconda dei permessi, una chiave trapelata può esporre dati dei clienti, consumare risorse a pagamento, distribuire infrastruttura cloud, inviare e-mail dal tuo dominio verificato o far salire una fattura IA.
A differenza delle password umane, le chiavi API spesso restano valide per mesi, vivono dentro file di configurazione e bypassano del tutto l’autenticazione a più fattori. Se una chiave trapela, un attaccante può operare come la tua applicazione, e il traffico malevolo può confondersi con il normale uso di produzione finché i costi esplodono o i dati sono già esposti.
Non incollare mai chiavi API in sistemi permanenti
Questi canali sono comodi perché conservano la cronologia. È esattamente per questo che sono il posto sbagliato per i segreti.
- Slack, Microsoft Teams, Discord o altra cronologia chat
- E-mail, SMS o thread inoltrati
- Jira, Trello, Notion, Confluence o issue GitHub
- Documenti di testo semplice, fogli di calcolo e cartelle cloud condivise
- Commit Git, pull request e commenti nel codice
Dove trapelano davvero le chiavi API
La maggior parte delle fughe non nasce da sofisticate rotture crittografiche. Avviene quando qualcuno copia un segreto in un sistema costruito per conservare record.
L’e-mail crea copie di lunga durata. Una chiave può sopravvivere in caselle di posta, archivi, backup, sincronizzazione mobile, thread inoltrati e indici di ricerca molto dopo la fine dell’attività.
Chat di team
Slack e Teams conservano il contesto, ed è proprio questo a renderli rischiosi per i segreti. Una chiave incollata può diventare ricercabile da futuri membri del workspace o trapelare tramite un dispositivo compromesso.
Strumenti di progetto
Jira, Notion, Confluence, Trello e GitHub Issues non sono vault di credenziali. I ticket eliminati possono ancora esistere in export, backup, audit trail e ricerche assistite dall’IA.
Repository Git
La cronologia Git è ostinata. Rimuovere una chiave in un commit successivo non cancella i commit precedenti. I repository pubblici vengono scansionati continuamente e credenziali cloud esposte possono essere abusate in pochi minuti.
Chiavi ad alto rischio: cifra prima localmente
La maggior parte delle chiavi API è sostituibile: token di staging, segreti di integrazione di breve durata e credenziali con scope ristretto che prevedi di ruotare. Per queste, la consegna monouso cifrata nel browser di solito è sufficiente.
Alcune chiavi hanno un peso maggiore: accesso admin di produzione, chiavi di firma, credenziali cloud root o qualsiasi segreto di lunga durata che sarebbe doloroso o impossibile revocare pulitamente. Trattale come segreti master: cifra localmente prima di qualsiasi upload web, poi invia il testo cifrato tramite PrivateNote.
- age — impostazioni predefinite semplici per cifrare file (
age -p -o key.txt.age key.txt) - OpenSSL — CLI affidabile se conosci già i flag
- Carica il file cifrato con PrivateNote; invia la passphrase di decifratura su un canale separato (Signal, telefono, di persona)
Lo stesso flusso si applica alle seed phrase di criptovalute e ad altri segreti master insostituibili. Leggi seed phrase crypto e link monouso per la guida completa age/OpenSSL, consigli sulle passphrase e quando i link monouso sono, o non sono, lo strumento giusto.
Un flusso di consegna più sicuro
Quando una persona ha bisogno della chiave, non quando un’app la recupera a runtime, segui questa sequenza.
Limita lo scope
Solo permessi minimi
Cifra localmente
La chiave non lascia il browser
Invia il link
Non il segreto in chiaro
Revoca alla fine
Ruota dopo la consegna
Condividi l’eventuale password della nota su un canale separato, mai nello stesso messaggio del link.
Come PrivateNote si inserisce nella consegna
PrivateNote è pensato per il momento da persona a persona: chiavi API, chiavi private SSH, credenziali database, codici di recupero, segreti di firma webhook e password temporanee che devono raggiungere una persona senza diventare un record permanente.
Se il segreto è una chiave SSH invece di una credenziale API, vedi come condividere chiavi SSH in modo sicuro su chiavi pubbliche vs private, deploy key ed estensioni dell’editor.
Il segreto viene cifrato nel browser prima dell’invio. PrivateNote conserva testo cifrato, non testo in chiaro. La chiave di decifratura vive nel frammento dell’URL, la parte dopo #, che i browser non inviano al server quando caricano la pagina.
https://privatenote.ai/note/abc123#kL8mN4...
- Il server riceve l’ID della nota e il payload cifrato.
- Il server non riceve la chiave di decifratura.
- Lettura unica e scadenza limitano per quanto tempo la nota cifrata esiste.
PrivateNote completa i secret store dedicati: chiude il vuoto quando devi inviare una chiave Stripe a un partner di integrazione, condividere una chiave OpenAI temporanea con un contractor o dare a un collega accesso monouso a una credenziale di staging.
Domande frequenti
Perché non usare semplicemente una variabile d’ambiente?
Le variabili d’ambiente sono utili per eseguire software localmente. Non risolvono il problema del trasporto quando devi consegnare quel valore a un collega, contractor, cliente o partner di integrazione.
Le chiavi API dovrebbero sempre scadere?
Quando il provider lo supporta, sì. Credenziali di breve durata riducono la finestra di abuso dopo un’esposizione accidentale e rendono la rotazione parte del flusso normale.
Qual è il flusso più sicuro?
Crea una chiave con scope ristretto, inviala tramite un link monouso cifrato nel browser, condividi l’eventuale password opzionale su un canale separato, poi ruota o revoca la chiave quando l’attività è finita. Per chiavi ad alto rischio o di lunga durata, cifra prima localmente con age o OpenSSL e carica solo testo cifrato.
PrivateNote è un secrets manager?
No. PrivateNote risolve la consegna sicura da persona a persona. Per l’archiviazione machine-to-machine dei segreti, usa HashiCorp Vault, AWS Secrets Manager, Google Cloud Secret Manager o Azure Key Vault.
In sintesi
La maggior parte delle fughe di chiavi API non avviene perché la crittografia ha fallito. Avviene perché qualcuno ha copiato un segreto in un sistema permanente e ricercabile per comodità. Limita strettamente lo scope delle chiavi, condividile solo quando necessario ed evita di lasciare una traccia in chiaro in chat, ticket, e-mail o Git.
Condividi una chiave API senza lasciarla in chat
Crea un link PrivateNote cifrato nel browser e a lettura unica. Non serve account per le note monouso.
Crea una PrivateNote ->