Segurança de APIs

Em agosto de 2026, análise comparativa de três mecanismos de autenticação de API: API keys são credenciais estáticas de longa duração transmitidas via header ou query parameter, mas vulneráveis a exposição furtiva (GitGuardian 2025: 28.65M secrets em repositórios públicos, 64% still active from 2022 até 2026). OAuth 2.0 tokens são credenciais curta duração com escopos delegados via JWT, melhores para acesso delegado de usuários. Service accounts são identidades IAM para aplicações automatizadas, usando chaves static ou tokens short-lived. A confusão entre estes mecanismos é causa principal do OWASP API2:2023 Broken Authentication.