Una chiave API limitata è una credenziale con permessi limitati utilizzata per autenticare le richieste consentendo solo azioni, risorse o endpoint specifici. È progettata per ridurre l'impatto: se la chiave viene esposta, l'attaccante non dovrebbe ereditare il controllo completo dell'account o del servizio.
Nella sicurezza informatica, le chiavi limitate sono importanti perché i segreti API vengono spesso esposti tramite repository di codice, log di build, file di configurazione o automazione configurata in modo errato. Gli aggressori cercano questi confini di fiducia facili da sfruttare perché una chiave valida può aggirare i normali controlli di accesso. I difensori usano le chiavi limitate come parte di una progettazione con privilegi minimi, ma non sono una soluzione completa. Richiedono comunque archiviazione sicura, monitoraggio, rotazione rapida e revoca quando si sospetta un'esposizione.