Criar e gerir chaves de API com segurança: ler, escrever, revogar

O que é uma chave de API

Uma chave de API é uma sequência longa e aleatória de caracteres com que um programa se identifica perante um serviço. Quem a conhece pode fazer tudo o que a chave permite. Por isso, uma chave de API deve ser guardada em segurança como uma palavra-passe. No Same-QR precisas dela para a linha de comandos sameqr, para scripts próprios na API REST e para agentes de programação como Claude Code, Cursor e Codex. O ChatGPT e o Claude.ai não precisam de uma, iniciam sessão por OAuth.

Passo 1: Encontrar o local certo

Inicia sessão no painel e abre Conta. Aí encontras a secção «Acesso para CLI, scripts e agentes». As chaves só podem ser criadas aqui, com um início de sessão no navegador. Uma chave não pode criar outras chaves, por isso uma chave roubada não se multiplica.

Passo 2: Escolher os direitos

Existem três níveis. Escolhe sempre o mais pequeno que chegue para a tarefa.

• Relatórios de leituras, análises, um assistente que só responde a perguntas: só leitura.
• Scripts que criam códigos QR e páginas, alteram nomes e textos, publicam, importam ementas: leitura + escrita.
• Processos que alteram os destinos de códigos QR existentes, passam páginas a offline ou as apagam: total. Cada alteração destas precisa de uma confirmação com a versão lida, pela API são permitidas no máximo 10 por hora e 30 por dia.

Com uma chave de leitura, qualquer pedido que altere dados é recusado. Um agente de programação ligado por MCP com uma chave de leitura nem sequer vê as ferramentas de escrita.

Passo 3: Validade e nome

Cada chave expira: ao fim de 30, 90, 180 ou 365 dias, estando predefinidos 90. Sem limite também é possível, mas tens de o escolher de propósito, por exemplo para uma tarefa noturna sem pessoas que a renove. Dá à chave um nome conforme a sua finalidade, por exemplo «Relatório mensal cliente A». São possíveis até 10 chaves por conta.

Passo 4: Guardar logo em segurança

A chave começa por sqr_live_ e é mostrada exatamente uma vez. O Same-QR guarda apenas uma soma de verificação e não a pode mostrar de novo mais tarde. Guarda-a diretamente no teu gestor de palavras-passe. Os programas leem-na no arranque a partir da variável de ambiente SAMEQR_API_KEY. Uma chave não deve ficar:

• no código-fonte, muito menos num repositório público,
• num endereço, porque os endereços ficam em registos e históricos,
• numa folha de cálculo, num e-mail ou numa mensagem de chat,
• no chat com um assistente de IA,
• como argumento num comando, porque então fica no histórico da shell.

O início fixo sqr_live_ tem um propósito: as ferramentas que procuram segredos publicados por engano reconhecem a chave por ele.

Passo 5: Revogar, se necessário

Na mesma lista, revogas uma chave com um clique. Fica de imediato inválida, os teus códigos QR mantêm-se inalterados. As chaves expiradas ficam na lista com uma nota, para veres porque é que um script deixa de passar de repente. Uma mudança de palavra-passe revoga, além disso, todas as chaves de uma só vez. Revoga uma chave se ela ficou visível em algum lado, se um prestador de serviços deixou de trabalhar para ti ou se já não sabes para que serve.

Conclusão: porquê o Same-QR

O Same-QR leva as chaves a sério: direitos separados, validades com uma predefinição sensata, apresentação uma única vez, armazenamento apenas como soma de verificação e revogação com efeito imediato. Assim podes usar API, CLI e agentes de programação com tranquilidade, em qualquer plano.

Começa já: regista-te gratuitamente em sameqr.com, 20 códigos QR dinâmicos são gratuitos para sempre. API, CLI e servidor MCP existem em todos os planos, a documentação está em sameqr.com/entwickler.

Perguntas frequentes