Una chiave API segreta è una credenziale privata usata dal software per autenticarsi a un servizio ed eseguire azioni per suo conto. A differenza di un identificatore pubblico, non dovrebbe mai essere incorporata nel codice lato client, condivisa nei log o esposta negli screenshot, perché chiunque la possieda potrebbe essere in grado di chiamare l'API come se fosse l'utente o l'applicazione legittimi.
Nella sicurezza informatica, le chiavi API trapelate sono una fonte comune di frode, accesso ai dati e abuso dei servizi. Gli aggressori cercano le chiavi nel codice sorgente, negli artefatti di build, nei log delle chat e nei repository configurati in modo errato, quindi le usano per interrogare i dati, creare risorse o accumulare costi. I difensori riducono questo rischio memorizzando le chiavi in gestori di segreti, limitando le autorizzazioni, ruotando rapidamente le credenziali e monitorando attività API insolite. Quando una chiave viene esposta, trattala come una password: revocala, sostituiscila e verifica a quali risorse si è avuto accesso prima che l'esposizione venisse rilevata.