出于安全考虑，应该/可以定期更改其公共和私有API密钥吗？

Question

我运行的网站是一个专有的托管+ cms解决方案的实现。这个解决方案提供了一个很好的文档API，我已经有几个签约程序员与之建立联系，以构建网站功能的自定义扩展。

因此，我不得不多次共享我的API密钥。 API调用的方法可以通过多种方式在数据库上运行。因此，与太多人共享密钥存在我试图避免的安全风险，但我甚至还没有开始达到我能负担得起全职开发人员的程度。因此，我将继续共享密钥一段时间。

因此，我将如何尽可能地限制风险？我知道尽可能少的人分享是明显的答案，我会尽可能地做到这一点。

但除了该解决方案之外，其他网站/管理员如何解决此问题？

Answer 1

此类密钥应定期到期。在ssl的情况下，大多数证书在1年后到期。即使您使用的是小型钥匙空间，五年也足以防止Brute Force的威胁。但是，如果您的服务器受到任何损害，您应该重新生成密钥，以及更改所有密码。