Chaves e contas
O que fazer se uma chave vazar
Revogue a chave, substitua nas integrações e confira as alterações recentes.
Se uma chave foi publicada em um repositório, colada em um chat ou exposta em logs, trate-a como comprometida.
1. Revogue imediatamente
Em Integrações, localize a chave pelo nome ou pelo prefixo e clique em Revogar. A revogação vale na hora: chamadas seguintes com essa chave recebem 401.
2. Crie uma substituta
Crie uma nova chave com o mesmo tipo e somente os escopos necessários. Atualize as integrações que usavam a antiga, guardando a nova em variáveis de ambiente ou num gerenciador de segredos.
3. Confira as alterações
Uma chave com scripts:write permite criar, editar e mover roteiros para a lixeira. Revise a biblioteca e a lixeira. Nada é apagado de forma definitiva pela API: roteiros excluídos podem ser restaurados.
Se você usa webhooks, o histórico de entregas também ajuda a identificar alterações recentes.
Boas práticas
- Nunca envie chaves na URL. O LiveTP só aceita credenciais no header
Authorization. - Use validades curtas (7 ou 30 dias) para testes.
- Prefira OAuth para agentes interativos: tokens de acesso duram 5 minutos.
- Não versionar arquivos
.envou configurações MCP com chaves.
Para segredos de webhook (whsec_…), use Revogar e trocar segredo no destino em Webhooks. Veja Rotação do segredo.