Tokens e credenciais permitem que sistemas conversem sem intervenção humana; quando ficam esquecidos, expostos ou sem responsável, a integração pode manter acessos além do necessário
Por Cleiton Celini e Gledson Alves, sócios e contadores da AUDICONT Contabilidade
Duas aplicações trocam informações todos os dias sem participação humana. A integração funciona porque uma credencial técnica autoriza as chamadas entre os sistemas.
O problema começa quando ninguém sabe quem criou essa credencial, onde ela está guardada ou quais ações ela permite.
Chaves e tokens esquecidos podem manter acessos ativos por muito mais tempo do que o ciclo das pessoas que implantaram a integração.
A integração pode estar ativa mesmo quando ninguém lembra da credencial
Uma API conecta o ERP a outro sistema. A implantação termina, o projeto é encerrado e a integração continua funcionando por meses ou anos.
Nos bastidores, uma chave, token ou outra credencial continua autorizando o acesso. Se ninguém souber quem criou, qual privilégio possui ou quando precisa ser renovada, a automação passa a depender de um segredo esquecido.
Chave de API não deve ser tratada como senha comum
O Gabinete de Segurança Institucional orienta manter registro das APIs e gerenciar cuidadosamente suas chaves. As recomendações incluem evitar inserir segredos diretamente no código-fonte e utilizar mecanismos adequados de armazenamento.
Isso é importante porque uma credencial exposta pode permitir chamadas automatizadas sem qualquer interação humana.
Inventário é o primeiro controle
Antes de discutir ferramentas sofisticadas, a empresa precisa saber quais integrações existem.
Um registro simples pode conter nome da API, finalidade, sistema de origem, destino, proprietário, credencial associada, data de criação, data de renovação e forma de revogação.
Esse inventário é uma evolução natural da integração entre sistemas empresariais: depois de mapear o fluxo de dados, é necessário mapear também o acesso técnico que permite esse fluxo.
Menor privilégio também vale para integrações
Uma integração que apenas consulta dados não deveria possuir, sem necessidade, capacidade de excluir cadastros ou alterar informações.
Quanto mais amplo o privilégio, maior o impacto potencial caso a credencial seja comprometida.
Por isso, escopos e permissões devem ser definidos conforme a função real da integração.
Segredos precisam ser trocados quando há suspeita ou mudança
Em 2026, o CTIR Gov recomendou auditoria e rotação de credenciais e chaves de API em resposta a um incidente envolvendo fornecedor de tecnologia.
A Receita Federal também comunicou atualização de credenciais de acesso às APIs do ambiente piloto e beta da Reforma Tributária, mostrando que credenciais técnicas também possuem ciclo de vida e podem precisar de substituição.
Não colocar a chave em planilha ou conversa de mensagem
A facilidade de copiar um token pode levar a práticas frágeis: salvar em planilha, enviar por e-mail, compartilhar em chat ou deixar em arquivo de configuração acessível.
O ideal é reduzir exposição, registrar responsáveis e utilizar mecanismos próprios para armazenar segredos quando a solução permitir.
Integrações fiscais tornam o tema ainda mais sensível
APIs e credenciais podem participar de consulta, transmissão ou integração de informações fiscais.
Na assessoria fiscal e tributária, a qualidade da escrituração e das obrigações depende de dados corretos e de processos confiáveis. Quando sistemas fiscais são integrados, o controle das credenciais passa a fazer parte da segurança operacional do fluxo.
Cinco perguntas para cada API
Uma PME pode começar sem criar uma estrutura complexa.
- Qual processo essa integração executa?
- Quem é o proprietário interno?
- Quais dados e ações a credencial permite?
- Onde a chave está armazenada?
- Como revogamos ou renovamos o acesso?
Na avaliação de Cleiton Celini e Gledson Alves, sócios e contadores da AUDICONT Contabilidade, a automação segura precisa controlar não apenas os usuários humanos, mas também as identidades técnicas que conectam sistemas. Uma chave sem responsável pode manter um acesso ativo por muito mais tempo do que a empresa imagina.
FAQ
O que é uma chave de API?
É uma credencial usada por aplicações para identificar ou autorizar chamadas a uma API. O formato e o nível de segurança variam conforme a solução.
Chave de API pode ficar no código?
A recomendação é evitar expor segredos diretamente no código-fonte ou em arquivos facilmente acessíveis.
Toda integração precisa de uma chave?
Não. Existem diferentes mecanismos de autenticação. O ponto é conhecer qual credencial cada integração utiliza.
Quando renovar uma credencial?
Conforme política do fornecedor, expiração, troca de responsável, suspeita de exposição ou mudança relevante no ambiente.
A integração deve ter acesso administrador?
Somente se a função realmente exigir. O princípio de menor privilégio reduz o impacto de uma eventual exposição.
Quem deve controlar as APIs?
Deve existir um responsável interno, ainda que o desenvolvimento e a manutenção sejam executados por fornecedor.
Fontes consultadas
Gabinete de Segurança Institucional - Segurança de APIs.
As orientações de segurança para APIs tratam de registro, documentação e armazenamento de chaves.
CTIR Gov - Recomendação 05/2026.
A recomendação do CTIR Gov inclui auditoria e rotação de credenciais e chaves de API em cenário de incidente com fornecedor.
Receita Federal - APIs da Reforma Tributária.
A comunicação oficial da Receita Federal registrou atualização de credenciais de acesso às APIs em agosto de 2026.