O que é chaves de API?
Chaves de API são códigos secretos que identificam um programa ou usuário ao acessar um serviço online e autorizam o uso dele, inclusive as cobranças. Funcionam como uma senha de acesso feita para sistemas conversarem entre si.
Na prática, um aplicativo que usa um serviço de terceiros envia essa chave junto com cada pedido. O serviço confere a chave, libera o acesso e registra o uso para cobrança. Por isso, quem tem a chave pode usar o serviço em nome do dono, e o custo costuma cair na conta dele.
Uma analogia simples é pensar em um cartão de crédito adicional. Quem tem o cartão faz compras que são cobradas do titular, sem precisar saber a senha da conta. Se o cartão cair em mãos erradas, as compras acontecem mesmo assim.
Por isso, chaves de API devem ser tratadas como senhas: não devem ser publicadas em código compartilhado, em prints ou em conversas. Vale guardá-las em cofres de segredos ou variáveis de ambiente, usar permissões mínimas, definir limites de gasto e revogar e trocar a chave imediatamente se houver suspeita de vazamento.