autenticação
Chaves de acesso
Cada chave é criada no painel com um nome — "servidor de produção", "homologação", "script de renovação" — para você saber depois qual sistema está usando qual, e poder revogar uma sem derrubar as outras.
Restrinja a chave ao seu servidor
No momento de criar há um campo opcional de IPs permitidos. Preenchendo com o endereço do servidor que vai chamar a API, a chave passa a funcionar somente a partir dele.
Vale usar. Uma chave de API acaba em variável de ambiente, em log, em histórico de shell e em repositório — e sem restrição de origem, qualquer cópia dela compra proxy na sua conta, gastando o seu saldo. Com a restrição, uma chave vazada não serve para quem a pegou.
Se desconfiar de qualquer coisa, revogue a chave no painel e crie outra: a revogação é imediata e isolada.