Skip to main content
A gestão de chaves é feita só pelo painel, em app.ararahq.com/dashboard/apikeys. Não há endpoint público para criar, listar, rotacionar ou revogar chaves.
Chamar /v1/api-keys com uma chave de API responde 403: com error.code = RESOURCE_FORBIDDEN para chave ADMIN, e sem error.code (o 403 de autenticação) para chave com permissões restritas. Isso é intencional: uma chave vazada não consegue gerar outras.
No painel, quem gere chaves é o Dono ou o Admin da organização. Criar, listar e revogar também ficam liberados para o papel Leitor, no caso de chaves de envio vinculadas.

​
O que você configura na criação

O valor completo (ara_live_...) aparece uma única vez. A Arara guarda só o hash e os 4 últimos caracteres.

​
O que o painel mostra de cada chave

A listagem traz todas as chaves não revogadas da organização.

​
Rotação

Rotacionar gera uma chave nova com as mesmas permissões, expiração, lista de IPs e limite, e revoga a antiga no mesmo instante. Não há janela de convivência. Para trocar sem interromper o serviço:
1

Crie uma segunda chave

Com as mesmas permissões da atual.
2

Publique a nova chave

Atualize a variável de ambiente ARARA_API_KEY e faça o deploy.
3

Revogue a antiga

Confirme no painel que a antiga parou de ser usada (último uso) e revogue.

​
Auditoria

Cada chave guarda eventos de ciclo de vida: CREATED, ROTATED, REVOKED, EXPIRED, SCOPE_CHANGED, IP_ALLOWLIST_CHANGED e CONFIG_CHANGED, com o usuário que fez a ação. O painel também mostra o volume de requisições em 7 e 30 dias e a taxa de sucesso (2xx) em 30 dias.

​
Segurança

  • Nunca coloque a chave no frontend, em repositório ou em log.
  • Use variável de ambiente ou cofre de segredos.
  • Uma chave por serviço e por ambiente, com a menor permissão necessária.
  • Revogue na hora quando suspeitar de vazamento ou quando alguém com acesso sair do time.

​
Próximos passos

Autenticação

Permissões por rota e erros de autenticação.

Identidade da chave

Validar a chave no início da integração.