Onde guardar
A chave vive em variáveis de ambiente do servidor ou num cofre de segredos. Nunca em código do navegador, nunca num repositório, nunca numa mensagem de WhatsApp ou num documento partilhado. Se precisa de enviá-la a alguém, gere uma chave nova para essa pessoa.
Quem pode ver
Limite o acesso a quem realmente precisa e mantenha uma chave por sistema, não uma chave para tudo. Assim, se um sistema for comprometido, revoga apenas essa chave sem parar o resto do negócio.
Rotação e revogação
Crie o hábito de rodar chaves periodicamente e sempre que alguém sai da equipa. Na pay.co.mz a chave é mostrada uma única vez, fica guardada em hash e pode ser revogada de imediato no painel.
Se uma chave for exposta
Revogue-a primeiro e investigue depois. Depois, verifique as transacções desde a data provável de exposição, procure levantamentos ou alterações de destino que não reconheça e mude também as palavras-passe das contas com acesso ao painel.